Pass-Ta-Key: Neue Malware klaut Google Passkeys von Mobilgeräten

Sicherheitsanalysten von Palo Alto Networks haben eine neue Schadsoftware namens Pass-Ta-Key identifiziert, die gezielt auf die Extraktion von Google Passkeys abzielt. Die Malware nimmt dabei insbesondere mobile Endgeräte sowie den Google Password Manager unter Windows ins Visier. Da Passkeys in der Branche bisher als weitgehend resistent gegen Phishing-Versuche vermarktet wurden, unterstreicht dieser Fund die fortbestehende Verwundbarkeit durch spezialisierte Software-Angriffe.

Drei Angriffsszenarien gefährden die Integrität digitaler Schlüssel

Die Experten von Unit 42, der Forschungseinheit von Palo Alto Networks, unterscheiden bei der Pass-Ta-Key-Malware drei verschiedene Angriffsstufen, die jeweils unterschiedliche Sicherheitsmechanismen umgehen. Das reguläre Szenario ermöglicht einen sogenannten stillen Login ohne die erforderliche Eingabe einer PIN. In der fortgeschrittenen Silver-Variante missbraucht die Malware die Funktion zur erneuten Registrierung von Geräten. Dabei wird ein Verifikationsschlüssel des Angreifers im System hinterlegt, um dauerhaften Zugriff zu erlangen.

Die gefährlichste Form stellt der Golden-Angriff dar. Hierbei gelingt es der Schadsoftware, ein 32-Byte großes Security Domain Secret zu extrahieren. Dieser Master-Schlüssel dient der Wiederherstellung privater Schlüssel innerhalb des Google-Ökosystems. Da für dieses Secret laut den Sicherheitsforschern derzeit kein Rotationsmechanismus vorgesehen ist, bleibt der Zugriff für Angreifer potenziell langfristig bestehen. Obwohl Google reagiert und das Secret aus den System-Logs entfernt hat, ist es weiterhin im Arbeitsspeicher des Systems nachweisbar.

Wer sich mit der Sicherheit seiner digitalen Konten befasst, sollte die Funktionsweise moderner Schutzmethoden genau kennen. Dieser kostenlose Report zeigt, wie Sie Passkeys bei Diensten wie Amazon, Microsoft und WhatsApp sicher einrichten und nutzen. Passkey-Ratgeber jetzt kostenlos herunterladen

Tarnung als iPhone ermöglicht die Synchronisation privater Schlüssel

Ein zentraler Aspekt der Untersuchung von Arie Olshtein betrifft die Art und Weise, wie die Malware den Google Password Manager unter Windows kompromittiert. Üblicherweise werden Passkeys lokal auf dem Endgerät gespeichert, wobei Windows-Systeme oft Cloud-Synchronisierungen nutzen. Pass-Ta-Key macht sich dies zunutze, indem die Infektion eine Windows-Maschine als iPhone tarnt. Durch diese Täuschung werden die Synchronisierungsmechanismen von Google aktiviert, wodurch die Malware sämtliche im Google Password Manager hinterlegten Passkeys extrahieren kann.

Die Forscher von Palo Alto Networks wiesen darauf hin, dass dem Google Password Manager im Vergleich zu dedizierten Sicherheitslösungen wie 1Password bestimmte Schutzmechanismen fehlen. Die Malware benötigt für den Diebstahl der Zugangsdaten keine Administratorenrechte auf dem infizierten System. Es genügt eine einfache Infektion, um TPM-gestützte Identitätsschlüssel auszulesen. Diese werden anschließend genutzt, um Authentifizierungsanfragen zu signieren und die Benutzerverifizierung vollständig zu umgehen.

Da mobile Endgeräte oft das Ziel spezialisierter Angriffe sind, ist ein fundiertes Sicherheitskonzept für das Smartphone unerlässlich. Ein gratis PDF-Ratgeber zeigt fünf einfache Schritte, mit denen Sie Ihr Gerät effektiv gegen unbefugte Zugriffe absichern können. 5 Schutzmaßnahmen für Ihr Smartphone entdecken

Demonstration an eBay führt zu Anpassungen der Validierung

Die praktische Relevanz der Bedrohung wurde von Unit 42 durch einen Demonstrationsangriff gegen den Online-Marktplatz eBay belegt. Nach dem entsprechenden Bericht der Sicherheitsforscher reagierte das Unternehmen und korrigierte die internen Validierungsprozesse, um die spezifische Schwachstelle zu schließen.

Branchenexperten betonen, dass der Angriffsweg über Malware zwar nicht gänzlich neuartig ist, die Entdeckung von Pass-Ta-Key jedoch für Verunsicherung hinsichtlich der Sicherheit von Passkeys sorgt. Während diese Technologie den Schutz gegen klassisches Phishing deutlich erhöht, bleibt der Schutz der lokalen Speicherung und der Synchronisationswege ein kritischer Punkt. Die Analyse zeigt, dass Angreifer gezielt die Schnittstellen zwischen verschiedenen Betriebssystemen und Cloud-Diensten ausnutzen, um die hardwarebasierte Sicherheit von Trusted Platform Modules (TPM) zu umgehen.

de | wissenschaft | 69937921 |