피드로 돌아가기
Cookie thieves caught stealing dev secrets via fake Claude Code installers
The RegisterThe Register
Security

IElevator2 COM Interface 악용을 통한 ABE 무력화 및 데이터 탈취

Cookie thieves caught stealing dev secrets via fake Claude Code installers

2026년 5월 11일3분advanced

AI 요약

Context

Chromium 브라우저는 SQLite 데이터베이스의 단순 복제 기반 쿠키 탈취를 방어하기 위해 App-Bound Encryption(ABE)과 IElevator2 COM 인터페이스를 도입함. 기존의 파일 복제 방식으로는 암호화된 데이터를 복구할 수 없는 구조적 제약 사항이 존재함.

Technical Solution

  • HTML 렌더링 단계에서 악성 명령어 주입을 통한 정적 분석 및 URL 평판 서비스 우회 설계
  • Obfuscated PowerShell Loader를 통한 Native AEB Helper 주입으로 브라우저 프로세스 내 상주
  • IElevator2 COM Interface를 직접 호출하여 ABE Key를 획득하는 Oracle 구조 구현
  • Chromium의 Mojo Naming Convention 기반 IPC Pipe를 활용한 데이터 exfiltration 경로 구축
  • IElevator2 실패 시 Legacy Interface로 자동 Fallback 하는 가용성 확보 로직 적용
  • PowerShell 레이어와 Native PE 레이어로 탐지 지점을 분리하여 행동 기반 보안 솔루션 우회

실천 포인트

1. 신뢰할 수 있는 설치 스크립트 실행 전 curl/wget을 통한 원본 소스 코드 검증

2. COM Interface 및 IPC Pipe의 비정상적인 호출 패턴 모니터링 체계 구축

3. 단순 파일 기반 탐지가 아닌 PowerShell 및 Native Process 간의 상관관계 분석 기반 탐지 룰 적용

태그

#Exfiltration#PowerShell Loader#App-Bound Encryption#IPC Pipe#COM Interface
원문 읽기