新型C4攻击绕过Chrome应用绑定加密机制

漏洞概述

研究人员发现一项严重C4漏洞（Chrome Cookie Cipher Cracker），允许低权限攻击者解密Chrome的AppBound Cookie Encryption（应用绑定Cookie加密）功能。该安全特性由谷歌于2024年7月推出，旨在保护用户Cookie免受信息窃取类恶意软件侵害。

核心发现如下：

攻击技术原理

加密机制突破

C4攻击针对Chrome采用的双层DPAPI加密体系：先使用User-DPAPI加密，再通过SYSTEM-DPAPI二次加密，理论上仅限SYSTEM级进程访问。CyberArk研究发现，负责处理解密请求的COM服务（以SYSTEM权限运行）意外产生了填充预言漏洞。

当提升服务尝试解密被篡改的密文时，Windows事件查看器会根据填充有效性生成不同错误消息——无效填充显示"unknown"错误，而有效填充但签名错误则显示"MAC check failed"。这种差异响应形成了攻击者可利用的填充预言。

攻击实施过程

攻击者通过以下步骤完成解密：

完整攻击需约16小时，期间需向提升服务发送大量进程间通信(IPC)请求，并持续监控Windows事件日志获取填充验证响应。每次猜测涉及文件读写操作和多次IPC交互，导致耗时较长。

替代攻击路径

研究人员还发现更简单的COM劫持技术：通过将提升服务重定向至不存在二进制文件，迫使Chrome回退至旧版加密方法。该技术门槛较低，但会导致先前加密的Cookie丢失。

厂商响应与安全启示

谷歌在2024年12月收到漏洞报告后，于2025年2月将其列为"已确认"状态。截至2025年6月23日，Chrome已部署临时解决方案（默认关闭状态），完整修复方案将在未来版本推出。微软则认为该DPAPI漏洞"实际利用难度较高"，不符合安全修复标准。

该研究揭示了传统安全机制组合创新可能产生意外漏洞，凸显加密实现方案评审的重要性。同时再次引发对CBC加密模式安全性的担忧，专家建议应考虑全面弃用该模式。