SpecterOps’un paylaştığı çalışmaya göre, Windows üzerinde çalışan Google Chrome ve Microsoft Edge oturumları, tarayıcı içindeki Chrome DevTools Protocol devreye sokularak ele geçirilebiliyor. Yöntem, saldırganın hedef makinede zaten kod çalıştırabildiği post-kompromi senaryosuna dayanıyor; yani bir Chrome ya da Edge açığının istismarı yok.
Araştırma, bu yaklaşımın çerezlere, kaydedilmiş veriye ve kimliği doğrulanmış tarayıcı oturumlarına erişim sağladığını ortaya koyuyor. Bu nedenle teknik, uzaktan sömürülebilen klasik bir tarayıcı zafiyetinden ziyade, sisteme sızıldıktan sonra tarayıcı oturumunu ele geçirmeye odaklanan daha dar bir saldırı zinciri oluşturuyor.
CDP, çalışan tarayıcının içine taşınıyor
SpecterOps’un anlattığı CDP-Enable-BOF aracı, açık bir hata kullanmak yerine mevcut chrome.exe ya da msedge.exe sürecinin içinde hata ayıklama sunucusunu etkinleştiriyor. x64 Beacon Object File, tarayıcının mevcut bağlamını istenen CDP portu üzerinden erişilebilir hale getiriyor.
Teknik akışta araç önce hedefte çalışan Chrome ya da Edge sürecini ve üst düzey penceresini buluyor. Ardından yüklenmiş chrome.dll veya msedge.dll modülünü saptıyor, Chromium iç sembollerini maskelediği bayt imzalarıyla çözümlüyor, uzak bellekte iki küçük stub ile bir bağlam bloğu ayırıyor. Sonrasında geçici bir remote window procedure kuruluyor ve nihai çağrı tarayıcı arayüz iş parçacığında çalıştırılıyor. Bu son adımda Chromium’un iç StartRemoteDebuggingServer fonksiyonu, istenen port üzerinden devreye alınıyor.
Yayımlanan depoda, bu son çağrının kullanıcı arayüzü iş parçacığında yapılmasının CFG, TLS ve CET’e duyarlı yürütme koşullarında tekniği daha güvenilir hale getirdiği belirtiliyor. Ancak yöntem yalnızca çalışan bir tarayıcı süreci gerektiriyor ve x64 sistemlerle sınırlı. Depo, yönetici yetkisinin her durumda gerekip gerekmediğini ise açık biçimde söylemiyor.
Bu yaklaşım, SpecterOps’un aktardığına göre daha önce DeathFlamingo’nun Aralık 2025’te belgelediği çalışan Edge tarayıcısına CDP enjekte etme tekniğine ve Cedric Van Bockhaven’in “Modern Session Hijacking by Living off the DevTools Protocol” çalışmasına dayanıyor. Depo da bu iki çalışmayı projenin temeli olarak anıyor.
Yöntem, saldırganın tarayıcı veritabanını diskte aramasına gerek bırakmıyor. Oturum, doğrudan çalışır durumdaki tarayıcı bağlamı üzerinden ele alındığı için cookie deposu, kayıtlı şifre verileri ve oturum durumları aynı işlem içinde kullanılabiliyor.
Google, App-Bound Encryption devreye girdikten sonra saldırganların Chrome Remote Debugging üzerinden çerez çıkarmaya yöneldiğini Mart 2025’teki bir paylaşımında zaten not etmişti. Şirket, çerez hırsızlığının hata ayıklama arayüzü üzerinden tartışılmasının 2018’e kadar uzandığını da hatırlattı.
Bu nedenle Chrome 136 ile birlikte uzak hata ayıklama davranışı değiştirildi. Google, –remote-debugging-port ve –remote-debugging-pipe anahtarlarının, varsayılan Chrome veri dizinini hedeflediklerinde ve yanlarında standart dışı bir –user-data-dir bulunmadığında artık yok sayıldığını açıkladı. Şirketin tarifine göre standart dışı veri dizini farklı bir şifreleme anahtarı kullanıyor ve bu durum Chrome verilerini saldırganlara karşı koruyor.
SpecterOps’un CDP-Enable-BOF yaklaşımı ise bu engeli farklı bir yoldan aşıyor. Araç, hata ayıklamayı dışarıdan bir başlatma komutuyla değil, halihazırda çalışan chrome.exe ya da msedge.exe sürecinin içinden açıyor. Böylece tarayıcı zaten hangi kullanıcı bağlamında çalışıyorsa, CDP de o bağlamın içine yerleşiyor.
Bu fark, tekniği uzaktan tarayıcı ele geçirme araçlarından ayırıyor. Burada hedef, bir güvenlik açığı üzerinden ilk giriş yapmak değil; sisteme bir kez erişildikten sonra tarayıcının kendi mekanizmasını saldırı yüzeyine çevirmek.
Çerezden ekran görüntüsüne, kimliği doğrulanmış oturuma kadar
SpecterOps’un CDP-Toolkit seti, endpoint erişime açıldıktan sonra tarayıcıyla doğrudan konuşabiliyor ya da tarayıcının kendi WebUI yüzeylerini otomatikleştirebiliyor. Bu araç setiyle yapılan ana işlemler arasında çerez toplama, tarayıcı verisi çekme, kayıtlı parola geri kazanımı ve tarayıcıyı tamamen devralma yer alıyor.
Çerez toplama aşamasında Storage.getCookies çağrısı kullanılıyor ve böylece çerez veritabanı diskte okunmadan tarayıcının mevcut cookie durumu isteniyor. Tarayıcı verisi tarafında geçmiş, yer imleri, kurulu eklentiler, ekran görüntüleri ve kaydedilmiş parola meta verisi CDP üzerinden ya da tarayıcı tarafından oluşturulan sayfalar üzerinden alınabiliyor.
Kayıtlı parola geri kazanımında Chromium’un autofill akışı, eşleşen bir kaynak üzerinde çalıştırılıyor ve ortaya çıkan kullanıcı adı ile parola alanı değerleri CDP aracılığıyla okunuyor. Tarayıcı ele geçirme kısmında ise ya ekran dışında çalışan bir hedef oluşturuluyor ya da kurbanın kimliği doğrulanmış durumunu taşıyan tarayıcı hedefleri üzerinden HTTP ve HTTPS istekleri proxy ediliyor.
Bu model, etkileşimli screencasting için arka planda ya da görünmez biçimde bir tarayıcı hedefi açabiliyor. Proxy modu ise istekleri, kurbanın kimliği doğrulanmış oturumunu taşıyan endpoint üzerinden yukarı akışa iletiyor; CDP’nin sunduğu ölçüde çerezleri ve tarayıcı kullanıcı aracısını koruyor.
SpecterOps, ekran yansıtma modunun Chrome ya da Edge örneğinin içinde işletim sistemi oturumu, kurumsal kimlik doğrulama durumu, WebAuthn davranışı, eklentiler ve tarayıcıya özgü JavaScript davranışı gibi öğeleri yerinde bıraktığını söylüyor. Yani saldırgan, kurbanın tarayıcı oturumunu başka bir cihazda yeniden üretmek yerine, doğrudan çalışan tarayıcı örneğinin içindeki haliyle kullanıyor.
Google’ın Device Bound Session Credentials mekanizması da burada önemli bir eşik olarak öne çıkıyor. Windows kullanıcılarına Chrome 146 ile sunulan DBSC, oturum yenilemesini donanıma bağlı bir anahtara kilitliyor ve çalınan çerezlerin başka bir cihazda yenilenmesini engellemek üzere tasarlanıyor.
SpecterOps, bu özel anahtarın nasıl çıkarılacağına dair bir yöntem paylaşmıyor. Ancak şirket, kimliği doğrulanmış tarayıcı bağlamı üzerinden çalışmanın, cihaz dışı yeniden oynatmayı engellemek için konulan korumaları by-pass edebildiğini belirtiyor.
Buradaki fark da yine oturumun nerede ele geçirildiğinde yatıyor. DBSC, çerezleri bir makineden alıp başka bir makinede tekrar kullanmayı zorlaştırmak için tasarlanmışken, araştırmanın tarif ettiği yöntem saldırıyı aynı tarayıcı örneğinin içinde tutuyor.
Bu arada CDP, saldırı dışında savunma ve otomasyon tarafında da uzun süredir kullanılıyor. Güvenlik ekipleri ve test ortamları, aynı protokolü tarayıcı davranışını incelemek, iş akışlarını otomatikleştirmek ve kendi ortamlarında oturum akışlarını gözlemlemek için kullanıyor. Sorun aracın kendisinde değil, hangi elde ve hangi amaçla çalıştırıldığında ortaya çıkıyor.
Teknik çerçevede bakıldığında yöntem, saldırganın tarayıcıya dışarıdan komut göndermesinden çok daha fazlasını yapıyor. Çalışan işlem içine gömülen CDP, kimliği doğrulanmış oturumun tamamını saldırı yüzeyine dönüştürüyor.
Microsoft’un Sysmon dokümantasyonuna göre Event ID 8, CreateRemoteThread olayını kaydediyor ve bir sürecin başka bir süreç içinde thread oluşturduğunu gösteriyor. Event ID 10 ise ProcessAccess kaydı tutuyor; bu da bir sürecin başka bir süreci açtığı durumları işaret ediyor.
Microsoft, Event ID 8’in kod enjeksiyonuna işaret edebileceğini, ProcessAccess kaydının ise çok fazla gürültü üretebildiğini ve genellikle beklenen aktiviteleri filtreleyen kurallarla kullanılmasının gerektiğini belirtiyor. SpecterOps da savunma tarafının chrome.exe ve msedge.exe süreçlerini hedefleyen süreç enjeksiyonu izlerini özellikle bu iki Sysmon olayı üzerinden arayabileceğini söylüyor.
Haberin yayımlandığı tarihe yakın kontrol edilen GitHub bilgisine göre açık BOF hâlâ Chrome 147.0.7727.102 ve Edge 147.0.3912.98 sürümlerini test edilmiş sürümler olarak listeliyor. İmzaların da sürüme bağlı olduğu belirtiliyor.
Google tarafında daha yeni sürümler var. Şirket, 22 Temmuz’da Chrome 151.0.7922.47/.48 sürümlerini küçük bir Windows ve macOS kullanıcı grubuna Early Stable olarak taşıdı.
Microsoft cephesinde ise Stable sürüm notları, 10 Ağustos’ta yayımlanan 151.0.4129.78 derlemesini 14 Ağustos itibarıyla en güncel kararlı sürüm olarak gösteriyor. Depodaki bilgiler, yeni tarayıcı güncellemeleri sembol çözümlemesini bozduğunda yeni imza türetmek için betikler sunduğunu söylüyor, ancak bu imzaların daha sonraki sürümlerde değişmeden çalıştığını garanti etmiyor.
Bu çalışma, macOS tarafında AmnesiaStealer’ın ortaya çıkarılmasından bir gün sonra gündeme geldi. Jamf Threat Labs, bu zararlının stream_module adlı bileşeninin Chromium tarayıcıları üzerinde gizli ve etkileşimli kontrol sağladığını açıkladı.
Jamf’in incelemesine göre o bileşen klavye, fare, kaydırma, gezinme ve sekme yönetimini CDP üzerinden destekliyor ve analiz sırasında çerezleri düz metin olarak dışa aktarıyordu. SpecterOps’un Windows araştırması ise CDP’yi kurbanın hâlihazırda çalışan Chrome ya da Edge sürecinin içine yerleştiriyor.