اختطاف الجلسات عبر DevTools في متصفحات كروم وإيدج على ويندوز يتيح الوصول إلى الكوكيز والبيانات المحفوظة بعد اختراق الجهاز مسبقاً.
ما هي تقنية اختطاف الجلسات عبر DevTools في كروم؟
تكشف التقنية الجديدة عن أسلوب ما بعد الاختراق يعتمد على تفعيل Chrome DevTools Protocol داخل عملية تعمل بالفعل لمتصفح Google Chrome أو Microsoft Edge على نظام ويندوز. النتيجة هي فتح قناة تسمح للمهاجم بالوصول إلى الجلسة الحالية للمستخدم، بما يشمل الكوكيز وبيانات التصفح والجلسات المسجلة دخولها.
المهم هنا أن الأمر لا يعتمد على ثغرة أمنية جديدة داخل كروم أو إيدج، بل يفترض أن المهاجم حصل مسبقاً على قدرة تنفيذ أوامر على الجهاز المستهدف. لذلك نحن أمام سيناريو خطير، لكنه مختلف عن هجمات التصفح البعيدة التي تبدأ من الإنترنت مباشرة.
كيف تعمل آلية اختطاف الجلسات داخل المتصفح نفسه؟
بدلاً من تشغيل المتصفح بخيارات تصحيح تقليدية، تعتمد الفكرة على حقن المكوّن داخل عملية المتصفح النشطة نفسها. بعدها يتم تفعيل خادم التصحيح من الداخل، ما يسمح بعرض السياق الحالي للمتصفح على منفذ DevTools يختاره المهاجم.
لماذا يثير هذا الأسلوب القلق؟
الخطورة الأساسية أن الجلسة الموجودة بالفعل تكون صالحة ومصادقاً عليها، ما يقلل الحاجة إلى سرقة كلمة المرور مباشرة. وبحسب ما تتابعه تيكبامين، فإن هذا النوع من الهجمات يركّز على الاستفادة من وجود المستخدم داخل حساباته بدلاً من كسر الحماية التقليدية.
- الوصول إلى ملفات الارتباط Cookies المرتبطة بالحسابات النشطة
- قراءة بيانات محفوظة داخل المتصفح بعد تسجيل الدخول
- إعادة استخدام الجلسات المصادق عليها في خدمات الويب
- الاعتماد على متصفح يعمل مسبقاً ضمن نظام ويندوز x64
هل أوقفت جوجل هذا النوع من الهجمات في كروم 136؟
جوجل شددت بالفعل سلوك ميزة Remote Debugging بدءاً من Chrome 136، خصوصاً عندما يحاول طرف ما استخدام منفذ التصحيح مع مجلد البيانات الافتراضي للمتصفح. وتطلب الشركة الآن استخدام مجلد بيانات غير قياسي في بعض الحالات، مع مفاتيح تشفير مختلفة تهدف إلى حماية بيانات كروم من محاولات السرقة.
لكن التقنية الجديدة تتجاوز هذا المسار جزئياً، لأنها لا تبدأ من تشغيل جديد للمتصفح، بل من تفعيل بروتوكول DevTools داخل العملية الحالية. وهذا ما يجعل النقاش يدور حول حدود الحماية بعد اختراق الجهاز نفسه، لا حول متانة التشفير وحدها.
كيف يمكن اكتشاف هجوم اختطاف الجلسات على ويندوز؟
المدافعون يمكنهم البحث عن مؤشرات استهداف لعمليات كروم وإيدج، خصوصاً عندما تظهر سلوكيات حقن عمليات أو تعاملات غير معتادة مع الذاكرة. كما أن مراقبة سجلات Sysmon قد تساعد في رصد نشاط يطال chrome.exe وmsedge.exe.
- مراقبة Sysmon Event ID 8 المرتبط بإنشاء خيوط بعيدة
- مراقبة Sysmon Event ID 10 المرتبط بالوصول إلى العمليات
- التحقق من أي اتصالات محلية غير متوقعة مرتبطة بمنافذ DevTools
- مراجعة أدوات الحماية الطرفية لرصد حقن العمليات داخل المتصفح
ماذا يعني ذلك للمستخدمين والشركات؟
هذا التطور يوضح أن اختطاف الجلسات لم يعد يعتمد فقط على سرقة ملفات من القرص، بل قد يستفيد من المتصفح الحي أثناء عمله. بالنسبة للشركات، يصبح عزل الأجهزة المصابة ورفع مراقبة العمليات أمراً ضرورياً، بينما يحتاج المستخدمون إلى تحديث المتصفح وتقليل صلاحيات البرامج غير الموثوقة على ويندوز.
وفي الخلاصة، فإن خطر اختطاف الجلسات هنا مرتبط بمرحلة ما بعد الاختراق، لكنه يظل تهديداً عملياً وقادراً على تجاوز كثير من الإجراءات التقليدية إذا وصل المهاجم إلى الجهاز أولاً، وهو ما يجعل الوعي الدفاعي المبكر أولوية كما ترى تيكبامين.
