Chrome Remote Desktop pode ser usado para acesso invisível por equipes Red Team

A revelação da ZeroTrace Lab sobre o Chrome Remote Desktop (CRD) escancara uma nova dimensão em ataques persistentes e furtivos. A técnica se apoia na modificação de um componente crucial do CRD, a remoting_core.dll. Ao realizar engenharia reversa, os pesquisadores identificaram e alteraram o campo DLGTEMPLATEEX dos recursos de diálogo, especificamente o ID 110, responsável pelo banner de notificação. Zera-se as dimensões (cx e cy) desse banner, que é um diálogo Win32 clássico, tornando-o imperceptível ao usuário, mas mantendo a funcionalidade de conexão ativa. O serviço de host do CRD continua a funcionar normalmente, mas sem a sinalização visual.

Além da camuflagem visual, a pesquisa aprofundou na manipulação do arquivo host.json. Este arquivo é a chave para o registro do host e armazenamento de informações sensíveis, como o private_key e host_secret_hash. Substituir este arquivo com credenciais pré-configuradas de um atacante permite o registro de uma máquina remota sem a necessidade de interação manual ou o PIN usual. A weaponização ocorre ao integrar essas modificações em um instalador MSI, que, por rodar com privilégios elevados, consegue copiar os arquivos adulterados e iniciar o serviço Chromoting, estabelecendo um acesso remoto persistente e totalmente invisível.

Esta falha representa um vetor de ataque extremamente perigoso para ambientes corporativos e qualquer organização que use ferramentas de acesso remoto. A ausência de alertas visuais anula um dos poucos mecanismos de defesa que um usuário final teria para detectar uma intrusão. Equipes Red Team e agentes maliciosos podem estabelecer uma ponte persistente para redes internas, coletando dados, escalando privilégios e realizando movimentos laterais sem serem notados. A detecção se torna um desafio imenso para as equipes de segurança, que precisam ir além da análise de logs de conexão, buscando anomalias no comportamento do sistema e integridade de arquivos de sistema, especialmente os relacionados a ferramentas legítimas que podem ser cooptadas.

O impacto na proteção de dados e na conformidade regulatória é grave. Um acesso remoto invisível pode levar a vazamentos de dados confidenciais e comprometer a conformidade com leis como a LGPD, já que a visibilidade e o controle sobre acessos externos são fundamentais. Para as empresas, é um lembrete contundente de que até mesmo ferramentas amplamente confiáveis e legítimas podem se tornar vetores de ataque se vulnerabilidades de configuração ou implementação forem exploradas. A vigilância deve ser constante, inclusive sobre como softwares