Im Zentrum der von Palo Alto Networks beschriebenen Angriffe stehen Google-synchronisierte Passkeys in Chrome unter Windows. Befindet sich Malware bereits auf dem Rechner, kann sie laut den Forschern die lokale Synchronisationsdatenbank des Browsers untersuchen. Daraus lässt sich ableiten, welche Online-Konten der Nutzer mit Passkeys geschützt hat; zudem sind zugehörige Benutzernamen und verschlüsseltes Anmeldematerial einsehbar.
Für den eigentlichen Missbrauch stellt die Schadsoftware einen auf dem Datenträger oder im Arbeitsspeicher abgelegten Geräteschlüssel wieder her, den Chrome speichert. Anschließend nutzt sie die kryptografischen Programmierschnittstellen von Windows, um eine Signatur über eine von Googles Cloud-Authentifizierungsdienst gelieferte Herausforderung zu erzeugen. Nach Darstellung von Palo Alto Networks geschieht das ohne biometrische Abfrage, ohne Entsperren des Geräts und ohne erhöhte Rechte.
Der Cloud-Dienst wertet die signierte Anfrage demnach als Nachricht eines legitimen, vertrauenswürdigen Geräts. Er liefert daraufhin eine gültige Authentifizierungsbestätigung zurück, die der Angreifer an die Ziel-Website weiterreichen kann, um die Anmeldung abzuschließen.
Eine weitergehende Variante bezeichnen die Forscher als „Silver Pass-ta-key“. Hier zwingt die Malware Chrome in einen Prozess zur erneuten Geräteregristrierung. In einem kurzen Zeitfenster während dieses Ablaufs registriert sie ihren eigenen Schlüssel zur Nutzerüberprüfung beim Cloud-Authentifizierungsdienst. Ist dieser Schritt erfolgt, kann sich der Angreifer später von einem vollständig anderen Rechner aus anmelden.
Als schwerwiegendste Methode beschreibt Palo Alto Networks „Golden Pass-ta-key“. Dabei wird ein Hauptgeheimnis aus dem Prozessspeicher von Chrome ausgelesen, das während der erneuten Registrierung kurzzeitig im Speicher auftaucht. Wer dieses Geheimnis besitzt, kann nach Angaben der Forscher sämtliche privaten, synchronisierten Passkey-Schlüssel des zugehörigen Kontos entschlüsseln. Das ermögliche es dem Angreifer zudem, auch künftige Passkeys zu entschlüsseln.
Palo Alto Networks hat Google über die Forschungsergebnisse informiert. Laut dem Blogbeitrag des Unternehmens hat Google bereits einige Schutzmaßnahmen ausgerollt. Weitere technische oder organisatorische Details zu diesen Gegenmaßnahmen nennt der Quelltext nicht.