Chrome DevTools-teknik: Hackere overtager dine åbne logins

Sikkerhedsforskere hos SpecterOps har offentliggjort en teknik, der tænder Chromes indbyggede fjernfejlfinding inde i en allerede kørende Chrome- eller Edge-proces på Windows — og dermed giver en angriber adgang til browserens cookies, gemte data og aktive, indloggede sessioner uden at genstarte browseren og uden at røre en eneste fil på disken.

Det væsentlige forbehold først: det er ikke en sårbarhed i Chrome. Teknikken forudsætter, at angriberen allerede kan køre kode på Windows-maskinen. Den er derfor et såkaldt post-exploitation-værktøj — noget der bruges efter et indbrud, ikke til at bryde ind. Netop derfor kan Google heller ikke bare udsende en rettelse, som du kan installere dig ud af.

Hvad teknikken gør

Værktøjet hedder CDP-Enable-BOF og er en Beacon Object File til 64-bit Windows. Fremgangsmåden er beskrevet i detaljer af The Hacker News den 14. august 2026 og bygger videre på tidligere arbejde af forskerne DeathFlamingo fra december 2025 og Cedric Van Bockhaven.

Kæden af trin er kort fortalt denne: værktøjet finder den kørende chrome.exe- eller msedge.exe-proces og dens vindue, lokaliserer det indlæste Chromium-modul, genkender interne funktioner ved hjælp af maskerede bytesignaturer, allokerer hukommelse i den fremmede proces, installerer midlertidigt sin egen vinduesprocedure og udnytter den til at få kode eksekveret på browserens UI-tråd. Derfra kaldes Chromiums egen funktion StartRemoteDebuggingServer på en valgfri port.

Resultatet er, at browserens eksisterende kontekst — den du sidder i lige nu — bliver tilgængelig over Chrome DevTools Protocol. Med det tilhørende CDP-Toolkit kan operatøren derefter:

• Hente cookies direkte fra hukommelsen uden at læse browserens databasefiler
• Trække historik, bogmærker, installerede udvidelser og skærmbilleder ud
• Fremkalde gemte adgangskoder ved at udnytte browserens egen autofyld-funktion
• Styre browseren interaktivt og sende HTTP- og HTTPS-forespørgsler videre gennem offerets autentificerede tilstand

Det sidste punkt er det centrale. Angriberen behøver aldrig dit kodeord til netbanken eller din Microsoft 365-konto, hvis han kan sende forespørgsler gennem en session, der allerede er godkendt.

Hvorfor App-Bound Encryption ikke stopper det

Google indførte App-Bound Encryption (ABE) i Chrome netop for at gøre det sværere at stjæle cookies fra disken: nøglen bindes til den applikation, der har gemt data, så en tilfældig proces ikke bare kan dekryptere cookie-databasen. Det virkede — men flyttede angriberne et andet sted hen.

Google skrev selv i et blogindlæg i marts 2025, at man "siden App-Bound Encryption blev aktiveret har set en stigning i angribere, der bruger Chrome Remote Debugging til at udtrække cookies". Logikken er banal: hvis du ikke kan dekryptere data udefra, så beder du browseren om at aflevere dem for dig. Browseren har jo nøglen.

Google svarede igen ved fra Chrome 136 at ignorere fjernfejlfindings-parametre, der peger på den almindelige brugerdatamappe, medmindre de ledsages af et --user-data-dir-flag med en ikke-standardsti. Det lukkede den nemme vej, hvor man genstartede browseren med en ekstra parameter og fik adgang til den rigtige profil.

Den nye teknik omgår præcis den beskyttelse ved slet ikke at starte browseren. Fejlfindingsserveren tændes indefra i den proces, der allerede kører med din profil indlæst. Der er ingen kommandolinje at filtrere.

Metoden er testet mod Chrome 147.0.7727.102 og Edge 147.0.3912.98. Signaturerne, der bruges til at genkende de interne funktioner, er versionsspecifikke — så teknikken skal vedligeholdes ved hver større browseropdatering. Det er en reel, men beskeden, bremse.

Sammenhængen med Mac-truslerne

Chrome DevTools Protocol er ikke i sig selv ondsindet. Det er den grænseflade, udviklere og testværktøjer bruger til at automatisere browsere, og den har eksisteret i årevis. Det nye er, at angribere er begyndt at behandle den som deres primære vej ind i autentificerede sessioner — på tværs af platforme.

Samme protokol er kernen i AmnesiaStealer, den Rust-baserede Mac-malware der fjernstyrer din browser live, som Jamf Threat Labs dokumenterede to dage tidligere. Der er tale om to uafhængige fund, men mønsteret er det samme: gemte kodeord er blevet for besværlige at bruge, fordi totrinsbekræftelse spærrer, mens en levende session ikke skal godkendes igen.

Det er også grunden til, at denne historie ikke skal forveksles med de 1.072 sikkerhedsfejl, Googles AI fandt i Chrome tidligere i august. De fejl kunne rettes med en opdatering. Det kan denne teknik ikke, fordi den misbruger en funktion, der virker efter hensigten.

Hvad kan man gøre?

For almindelige brugere er den vigtigste indsigt, at forsvaret ligger før dette punkt i angrebskæden. Kan ingen køre kode på din Windows-maskine, er teknikken irrelevant. Det gør de klassiske råd relevante igen: hold Windows opdateret — særligt efter fund som Windows-zero-dayen LegacyHive, der gav angribere admin-rettigheder — kør ikke ukendte scripts, og vær skeptisk over for downloads fra søgeresultater og annoncer.

For IT-ansvarlige er der konkrete detektionsmuligheder. SpecterOps peger på, at forsvarere kan lede efter tegn på procesinjektion mod chrome.exe og msedge.exe via Sysmon:

• Event ID 8 (CreateRemoteThread) — en proces starter en tråd i en anden proces
• Event ID 10 (ProcessAccess) — en proces åbner en anden proces med vidtgående rettigheder

Derudover er det værd at overvåge, om der pludselig lyttes på usædvanlige lokale porte fra en browserproces. Og på det organisatoriske plan gælder samme princip som ved Mac-truslen: sessionslevetid er en sikkerhedsindstilling. Korte sessioner og en fungerende procedure for at tilbagekalde alle aktive sessioner reducerer værdien af et vellykket indbrud markant.

Konklusion

Den nye CDP-teknik er et godt eksempel på, hvordan sikkerhedsforbedringer flytter angreb frem for at fjerne dem. App-Bound Encryption gjorde det svært at stjæle cookies fra disken, og resultatet blev, at angriberne i stedet spørger browseren pænt gennem dens eget udviklerværktøj.

Det, der er værd at følge de kommende måneder, er, om Google og Microsoft strammer selve aktiveringen af fjernfejlfinding i en kørende proces — for eksempel ved at kræve en eksplicit brugerbekræftelse. Indtil da flytter tyngdepunktet i praktisk kontosikkerhed fra kodeord til sessioner: det er ikke længere nok at have et stærkt kodeord og 2-faktor, hvis du står permanent logget ind alle steder.