V2EX = way to explore
V2EX 是一个关于分享和探索的地方
现在注册
已注册用户请  登录
zeocax
V2EX  ›  信息安全

看到 PyPI 的供应链攻击,继续来讨论 Chrome 的密码保存

  •  
  •   zeocax · 2022-09-02 22:48:30 +08:00 · 1327 次点击
    这是一个创建于 573 天前的主题,其中的信息可能已经有所发展或是发生改变。

    首先,前期提要: https://www.v2ex.com/t/872745

    其次,标题中的 PyPI 的供应链攻击请见: https://www.sentinelone.com/labs/pypi-phishing-campaign-juiceledger-threat-actor-pivots-from-fake-apps-to-supply-chain-attacks/

    通过 PyPI 的供应链攻击,植入的恶意程序会尝试搜索 Google Chrome 储存的密码。

    “This version of the infostealer introduces a new class, named ‘Juice’ (hence the name), and also searches for Google Chrome passwords, querying Chrome SQLite files. It also launches a Python installer contained in the zip named “config.exe”. Naming legitimate software “config.exe” appears to be common in various JuiceStealer variants.”


    Chrome 明文保存密码,这点很容易被恶意程序利用(只需要读取进程,扫描对应路径),并且很有价值(基于 Chrome 用户基数和使用自带密码管理器的比例)。

    但是考虑到如果你真的“电脑中毒”(这里指已经绕过安全软件的情况下),确实已经不在乎是不是明文保存。

    我当时又想不到其它场景(几年前的 Everything 开启 HTTP 服务器,默认不设密码公网可访问且被索引属于 Everything 自己设计上有严重问题应该不算......)。

    不过刚才看到这篇文章,在上面这种 python 包被破坏的情况下:

    1.直接读取 Chrome 密码应该是没有任何阻碍;

    2.更进一步绕过安全软件的恶意行为;

    两者难度应该还是有差距的吧

    makelove
        1
    makelove  
       2022-09-03 08:25:30 +08:00
    用 pypi 和 npm 之类的都不应该用 chrome ,这安装到自己电脑的几万个包哪怕有一个被攻破了你的密码随便盗用

    firefox 可以设置 master password,保存的东西是用这个主密码加密的 https://support.mozilla.org/en-US/kb/use-primary-password-protect-stored-logins
    Greenm
        2
    Greenm  
       2022-09-03 14:18:51 +08:00 via iPhone
    放弃使用浏览器保存密码,如果你真的介意你的密码安全。信我工。
    eason1874
        3
    eason1874  
       2022-09-03 15:51:08 +08:00
    开虚拟机做开发,用 samba 把目录共享到 Windows 就可以在文件夹里管理文件,然后用终端连接虚拟机,用起来一样的
    Danswerme
        4
    Danswerme  
       2022-09-03 16:07:26 +08:00
    我记得在 Chrome 里查看密码不是要验证系统登录密码吗?难道这只是针对用户的一个摆设么,对于第三方程序来说来意随意读取?
    jyeric
        5
    jyeric  
       2022-09-03 19:27:55 +08:00
    可以用 bitwarden
    关于   ·   帮助文档   ·   博客   ·   API   ·   FAQ   ·   我们的愿景   ·   实用小工具   ·   1070 人在线   最高记录 6543   ·     Select Language
    创意工作者们的社区
    World is powered by solitude
    VERSION: 3.9.8.5 · 21ms · UTC 19:03 · PVG 03:03 · LAX 12:03 · JFK 15:03
    Developed with CodeLauncher
    ♥ Do have faith in what you're doing.