كشف باحثو الأمن السيبراني عن تقنية ما بعد الاستغلال تستهدف متصفحات Google Chrome و Microsoft Edge على نظام ويندوز، حيث يتم تفعيل بروتوكول Chrome DevTools (CDP) داخل عملية المتصفح الجارية، مما يمنح المهاجم إمكانية الوصول إلى الكوكيز، البيانات المحفوظة، والجلسات المصادق عليها. هذه التقنية لا تعتمد على ثغرة في المتصفح نفسه، بل تفترض أن المهاجم يمتلك بالفعل صلاحية تنفيذ التعليمات البرمجية على الجهاز المستهدف، ما يجعلها جزءاً من سيناريوهات ما بعد الاختراق.
آلية التنفيذ
وفقاً لـ SpecterOps، تعتمد التقنية المسماة CDP-Enable-BOF على حقن التعليمات داخل عملية المتصفح عبر خطوات دقيقة تشمل:
- تحديد عملية Chrome أو Edge النشطة.
- تحديد وحدات chrome.dll أو msedge.dll.
- تخصيص ذاكرة عن بُعد لكتل صغيرة من التعليمات.
- تثبيت إجراء مؤقت في واجهة المستخدم.
- استدعاء دالة StartRemoteDebuggingServer الداخلية لتفعيل خادم التصحيح. بهذا يتم فتح منفذ CDP داخل المتصفح نفسه، مما يسمح للمهاجم بالتحكم في السياق المصادق عليه مباشرة.
قدرات ما بعد الاستغلال
بمجرد تفعيل CDP، يمكن للمهاجم استخدام أدوات مثل CDP-Toolkit لتنفيذ مهام متعددة:
- جمع الكوكيز باستخدام Storage.getCookies دون الحاجة لقراءة قاعدة البيانات من القرص.
- استخراج بيانات المتصفح مثل السجل، الإشارات المرجعية، الامتدادات، ولقطات الشاشة.
- استعادة كلمات المرور عبر استغلال آلية الملء التلقائي.
- التحكم في المتصفح عبر إنشاء جلسات خلفية أو بث مباشر للشاشة، مع القدرة على تمرير الطلبات HTTP/HTTPS باستخدام حالة المصادقة الخاصة بالضحية.
حدود الإصدار والكشف
التقنية تم اختبارها على إصدارات محددة:
- Chrome 147.0.7727.102
- Edge 147.0.3912.98 بينما أصدرت جوجل ومايكروسوفت إصدارات أحدث (Chrome 151 وEdge 151) في يوليو وأغسطس 2026. يمكن للمؤسسات رصد محاولات الحقن عبر Sysmon Event IDs 8 و10، حيث يشير الأول إلى إنشاء خيوط عن بُعد (CreateRemoteThread)، بينما يسجل الثاني محاولات الوصول إلى العمليات (ProcessAccess).
سياق أوسع
تأتي هذه التطورات بعد يوم واحد من الكشف عن برمجية AmnesiaStealer التي تستهدف مستخدمي macOS عبر وحدة stream_module تمنح المهاجم تحكماً تفاعلياً في متصفحات Chromium. هذا يعكس أن بروتوكول DevTools أصبح أداة مركزية في تقنيات اختطاف الجلسات الحديثة، سواء على ويندوز أو macOS، مما يفرض تحديات جديدة على أنظمة الحماية.
