Пользователи популярнейшего кроссплатформенного менеджера паролей KeePass под угрозой. Исследователь представил бесплатный инструмент для расшифровки всех паролей, логинов и заметок, которые хранит менеджер.
Исследователь из Security Assessment Денис Андзакович (Denis Andzakovic) опубликовал на GitHub бесплатную тулзу, названную KeeFarce. Достаточно запустить KeeFarce на компьютере жертвы, когда та авторизована в KeePass, и инструмент дешифрует весь архив с паролями, сохранив его отдельным файлом (злоумышленник может забрать файл сразу или сделать это позже, удаленно).
«Суть в том, что KeeFarce достает все содержимое парольной базы данных. К примеру, пентестер уже получил доступ администратора домена к сети, но хочет также получить доступ к сетевому «железу», не связанной с доменом инфраструктуре и так далее. Тогда пентестеру достаточно скомпрометировать машину системного администратора, воспользовавшись KeeFarce для похищения паролей из KeePass», — рассказал Андзакович Ars Technica.
Принцип работы KeeFarce базируется на DLL-инъекции, то есть стороннее приложение вмешивается в процессы приложения-жертвы через инъекцию DLL кода. Вредоносный код запускает в самом менеджере паролей вполне легитимную функцию экспорта, благодаря которой, открытая в этот момент БД (включая все логины, пароли, заметки и URL, хранящиеся в ней) сохраняется в CSV файл, в виде простого текста.
С одной стороны, проблема DLL-инъекций касается не только KeePass, и это сложно считать багом менеджера. С другой стороны, это отличное решение для кражи паролей, если совместить KeeFarce с использованием малвари и каких-либо техник удаленных атак. Будучи включен в состав Metasploit или других фремворков такого рода, KeeFarce тоже будет очень опасной штукой. Андзакович отмечает, что запустить KeeFarce вручную в Metasploit возможно уже сейчас.
Фото: Bruce Guenter
