Detection proposal: Chromium remote debugging used for cookie theft

Aperta
  • Qualcosa non va?
#4,389 1 commento 0 reazioni 0 assegnatari Vedi su GitHub

I maintainer di solito rispondono entro 1 giorno

Nessuno ha ancora preso questa issue.

Valutazione

Difficoltà
4/5
Tempo stimato
3-5 giorni
Idoneità per principianti
30/100
Tipo di issue
Funzionalità
Chiarezza
Specificata chiaramente
Stato di attività
Attiva
Stack tecnologico
python
Ambito
security

Direzione di ricerca

Start with the existing Headless Browser Usage analytic, which the issue says misses remote-debugging launches, and the Phemedrone Stealer story where the new analytics would go. Build the two proposed detections, one Anomaly on browser processes with a remote-debugging switch and one Hunting search on Sysmon EID 3 loopback connections to ports 9222-9229, then run contentctl-ng build. Done means the build passes and both analytics fire on the lab cases while staying silent on the negatives.

Scritto dal modello di indicizzazione a partire dal testo della issue.

Descrizione

enhancement

Gap. After Chrome's App-Bound Encryption, infostealers (for example Phemedrone, per Elastic Security Labs) launch Chrome or Edge with --remote-debugging-port or --remote-debugging-pipe and a non-default --user-data-dir. They then read cookies through the DevTools Protocol, often headless or with the window placed off-screen. security_content has no analytic for --remote-debugging. The existing Headless Browser Usage analytic requires --headless AND --disable-gpu, and in my lab it missed every remote-debugging launch.

Proposal.

  • Windows Chromium Browser Remote Debugging Enabled (Anomaly, Endpoint.Processes): browser main processes (Chrome, Edge, Brave, Opera, Vivaldi) started with a remote-debugging switch. Child processes and the elevated self-relaunch are excluded. Triage fields: debug_mode (fixed port, port 0, pipe), alt_profile and hidden.
  • Windows Local Chromium DevTools Port Connection By Non-Browser Process (Hunting, Sysmon EID 3): a non-browser process initiating a loopback connection to ports 9222-9229.

Both would go under the existing Phemedrone Stealer story (T1539, T1185).

Evidence. Native Windows 11 with Edge 156, Chrome 156 and Sysmon 15.22, using empty temporary profiles. The DevTools endpoint answered on all three fixed-port cases. Results: Anomaly 5/5 with no hits on 2 negatives; Hunting 1/1. contentctl-ng build passes. Related: #4382, #4383 and the dMSA proposal.

Lingua principale
Python
Stelle
1.7k
Fork
505
Merge medio
3g 10h
PR unite (30g)
50

Preparare l'ambiente

Come iniziare

  1. Leggi tutta la issue e poi la guida ai contributi del progetto.
  2. Commenta sulla issue per dire che te ne occupi tu — evita che due persone facciano lo stesso lavoro.
  3. Fai un fork del repository e lavora su un branch.
  4. Apri una pull request che faccia riferimento al numero della issue.

Altre issue di splunk/security_content

Tutte le issue di splunk/security_content

Issue simili

Altre issue su Python

Ricevi le nuove issue nella tua casella

Un breve riepilogo di issue GitHub adatte ai principianti.