Golden Pass-ta-key: ataque rouba todas as passkeys sincronizadas do Google
Pesquisa divulgada no r/netsec detalha o ataque Golden Pass-ta-key: malware já presente no computador força um novo onboarding do Chrome e extrai da memória do processo o Security Domain Secret (SDS), chave mestra de 32 bytes que criptografa todas as passkeys sincronizadas pelo Google Password Manager. Com o SDS, o atacante descriptografa as chaves privadas de todas as contas (Amazon, Apple, Microsoft, Binance, GitHub, entre outras) e assina autenticações WebAuthn válidas offline. A família Pass-ta-key foi descrita pela Unit 42 em agosto de 2026; as fontes não citam CVE, versões afetadas, correção nem exploração em campo, então a defesa hoje é impedir malware na estação e monitorar as contas.
O que aconteceu
Pesquisadores detalharam o ataque Golden Pass-ta-key, que permite a malware já instalado no computador roubar todas as passkeys sincronizadas pelo Google Password Manager. Com a chave mestra extraída da memória do Chrome, o atacante assume contas de serviços como Amazon, Microsoft e GitHub sem precisar do aparelho da vítima nem de qualquer interação. A Unit 42 (Palo Alto Networks) descreveu a família de ataques em agosto de 2026.
Por que importa
Passkey substitui senha e verificação em duas etapas; uma vez roubada a chave privada, não há código SMS ou notificação que barre o atacante, porque a assinatura é criptograficamente válida. O ataque exige malware na máquina, mas roda com privilégios comuns de usuário, sem escalada e sem depender do TPM. Funcionários que usam esse recurso podem ter contas em serviços como GitHub e Amazon comprometidas de forma offline e duradoura.
O que fazer
Priorize a detecção e a remoção de malware nas estações com Chrome, pois o ataque depende disso. Monitore contas com passkeys sincronizadas do Google quanto a logins suspeitos e dispositivos desconhecidos. Aguarde orientação do Google, já que as fontes não citam correção.
Para o time técnico
- Afetados
- Google Password Manager (passkeys sincronizadas) · Passkeys sincronizadas do Google Password Manager no Chrome (Windows). As fontes não citam versões do Chrome nem CVE.
- Exploração
- Divulgado em pesquisa (post no r/netsec detalhando o Golden Pass-ta-key); a família Pass-ta-key foi descrita pela Unit 42 (Palo Alto Networks) em agosto de 2026. As fontes não relatam exploração em campo nem PoC pública.
- Correção
- As fontes não citam correção, patch ou mitigação do fornecedor.
- Vetor
- Malware com privilégios comuns de usuário em estação Windows com Chrome; sem escalada de privilégio, sem interação do usuário e sem depender do desbloqueio do aparelho. No Golden, o malware apaga passkey_enclave_state para forçar novo onboarding; o Chrome recupera o SDS em texto claro do Trusted Vault e o mantém por instantes na memória do processo, de onde é exfiltrado.
- Mais detalhes
- O SDS é chave mestra de 32 bytes que criptografa todas as passkeys do GPM; só o Cloud Authenticator (enclave.ua5v.com) descriptografa o wrapped SDS. As passkeys ficam em registros protobuf WebauthnCredentialSpecifics na pasta Sync Data\LevelDB, com rp_id, usuário, user handle e chave ECDSA cifrada com o SDS, acessíveis sem privilégios elevados. Três variantes: base (impersona o dispositivo com a chave de identidade extraída do arquivo ou da memória, via APIs CNG do Windows; assertions sem flag UV são rejeitadas por serviços que a verificam), Silver (apaga o estado e, no período uv_key_pending, registra chave UV própria via device/add_uv_key porque o Cloud Authenticator não valida atestado de novas chaves UV; persiste mesmo após troca de senha ou revogação de sessões) e Golden (extração do SDS e das chaves privadas de todas as passkeys; comprometimento offline, sem TPM, sem o aparelho da vítima e sem interação).
Indicadores (IoCs)
- enclave.ua5v.com
- passkey_enclave_state
- %LocalAppData%\Google\Chrome\User Data\<Profile>\Sync Data\LevelDB
- device/add_uv_key
Linha do tempo
Incidente aberto.
