Cómo Keeper Forcefield protege contra la vulnerabilidad de seguridad de contraseñas de Microsoft Edge

Una nueva investigación muestra que Microsoft Edge carga todas las contraseñas guardadas en memoria en texto plano, y Keeper Forcefield está diseñado para proteger precisamente contra este tipo de vulnerabilidad.

Un investigador de seguridad publicó recientemente una herramienta operativa llamada EdgeSavedPasswordsDumper que extrae las credenciales almacenadas en Edge directamente de la memoria del proceso principal del navegador. No se requiere ningún exploit, solo privilegios de sistema suficientes. Microsoft afirma que este comportamiento es intencional y no se comprometió a solucionarlo, lo que significa que las organizaciones que dependen del administrador de contraseñas integrado de Edge quedan expuestas y sin ninguna actualización prevista.

Esto es en qué consiste realmente la vulnerabilidad, por qué el almacenamiento de contraseñas en el navegador crea este tipo de riesgo en primer lugar y cómo Keeper lo gestiona de forma diferente.

¿En qué consiste la vulnerabilidad relacionada con las contraseñas de Microsoft Edge?

Cuando guarda una contraseña en Edge, esta no retiene esa credencial en memoria únicamente durante el inicio de sesión. Edge carga todas sus contraseñas guardadas en su memoria de proceso principal a la vez – con todos los nombres de usuario y contraseñas en texto plano cada vez que el navegador está abierto. Un atacante, o malware con acceso local a la máquina, puede volcar esa memoria y quedarse con el conjunto completo de credenciales.

El investigador también probó Chrome y Brave y no encontró el mismo comportamiento, lo que sugiere que esto es específico de cómo Edge se integra con Microsoft Password Manager y no de un fallo compartido entre navegadores basados en Chromium.

Las herramientas estándar de Windows como el Administrador de tareas son suficientes para identificar el proceso correcto y volcar su contenido. El investigador también desarrolló la prueba de concepto (PoC) en .NET Framework 3.5, una elección deliberada para evitar activar herramientas modernas de análisis de seguridad como AMSI, lo que significa que el ataque puede ejecutarse en una máquina comprometida sin activar las defensas en las que confían la mayoría de las organizaciones.

La posición de Microsoft de que este comportamiento es por diseño no deja ninguna vía de remediación para las organizaciones que esperan una solución del proveedor. La única respuesta real es eliminar las contraseñas del almacenamiento en Edge por completo.

Por qué almacenar contraseñas en su navegador es un riesgo de seguridad

La vulnerabilidad de Edge es un claro ejemplo del riesgo que conlleva el almacenamiento de contraseñas en el navegador. Cuando las credenciales se encuentran dentro de un navegador, están vinculadas al proceso de ese navegador. La pregunta no es si están en la memoria; lo están siempre que el navegador esté en ejecución. Es lo expuesta que está esa memoria y lo difícil que es acceder a ella.

La estrecha vinculación de Edge con Microsoft Password Manager parece hacerlo significativamente más vulnerable que otros navegadores basados en Chromium. Sin embargo, el problema subyacente, credenciales accesibles en la memoria del navegador para cualquier persona con acceso local, no es exclusivo de Edge. Los infostealers, una categoría de malware diseñado específicamente para recopilar credenciales de navegadores, llevan años atacando esta superficie de ataque.

La administración de contraseñas basada en navegador es conveniente, y esa es exactamente la razón por la que las personas la usan. Pero la conveniencia y la seguridad tiran en direcciones opuestas aquí, y la vulnerabilidad de Edge es un ejemplo útil de cómo se ve ese compromiso en la práctica.

Cómo Keeper Forcefield protege contra el robo de contraseñas en el navegador

Este es exactamente el tipo de ataque que Keeper Forcefield está diseñado para bloquear.

En Windows, las aplicaciones que se ejecutan bajo la misma cuenta de usuario pueden acceder a la memoria de las demás de forma predeterminada, y eso es precisamente lo que aprovecha EdgeSavedPasswordsDumper. Keeper Forcefield aborda este problema a nivel del núcleo mediante la instalación de un controlador ligero que supervisa y restringe el acceso a la memoria de las aplicaciones protegidas. Cuando un proceso no confiable intenta leer la memoria de una aplicación protegida, el controlador lo bloquea. Los procesos confiables del sistema continúan funcionando normalmente; solo se detiene el acceso no autorizado.

Donde esto se vuelve concreto es en la llamada a OpenProcess destacada en la captura de pantalla del código anterior. Ese es el paso en el que el dumper intenta conectarse al proceso principal de Edge y leer su memoria. En una máquina que ejecuta Keeper Forcefield, esa llamada falla. El controlador del núcleo intercepta la solicitud de acceso antes de que se pueda leer cualquier parte de la memoria, lo que interrumpe el ataque en el paso del que depende.

Keeper Forcefield protege tanto las aplicaciones de Keeper como los principales navegadores, incluidos Chrome, Firefox, Edge, Brave, Opera y Vivaldi, por lo que la protección se aplica independientemente del navegador que emplee su organización. Se ejecuta silenciosamente en segundo plano sin afectar el rendimiento del sistema o de la aplicación y se puede activar directamente desde la aplicación Keeper Desktop o implementarse silenciosamente en los endpoints a través de Intune, Group Policy o una herramienta RMM.

Cómo proteger sus contraseñas de la vulnerabilidad de Microsoft Edge

Si su organización emplea el gestor de contraseñas integrado de Edge, cualquier máquina con Edge abierto tiene sus credenciales almacenadas en la memoria de texto plano. En una máquina comprometida o compartida, ese es un camino directo hacia una brecha.

La solución práctica es mover las contraseñas fuera del navegador a un administrador de contraseñas dedicado como Keeper que opera independientemente del proceso del navegador. Si las credenciales nunca se almacenan en la memoria del navegador, no hay nada que extraer de ella. Además, al habilitar Keeper Forcefield se añade una protección a nivel del núcleo en todos sus navegadores, lo que impide que procesos no autorizados lean la memoria de las aplicaciones, incluso si ya hay malware ejecutándose en el equipo.

La conclusión

Las organizaciones no pueden permitirse esperar un parche del proveedor que no llegará. Si su equipo utiliza el gestor de contraseñas integrado de Edge, la exposición está activa en este momento. Mueva las credenciales a un gestor de contraseñas dedicado y despliegue Keeper Forcefield para cerciorarse de que, incluso si una máquina está comprometida, no haya nada en la memoria del navegador que extraer.

Para ver cómo Keeper Forcefield protege los endpoints de su organización, inicie hoy una prueba gratuita de Keeper.