Ausgangspunkt der Technik ist laut SpecterOps das Werkzeug CDP-Enable-BOF. Es aktiviert den Debugging-Server nicht über einen neu gestarteten Browser mit Parametern, sondern aus einem bereits laufenden Prozess von chrome.exe oder msedge.exe heraus. Das x64 Beacon Object File stellt dann den bestehenden Browser-Kontext über einen angeforderten CDP-Port bereit. Das Verfahren setzt einen laufenden Browserprozess voraus und ist auf x64-Systeme beschränkt.
Google hatte in einem Beitrag vom März 2025 erklärt: „Seit App-Bound Encryption aktiviert wurde, haben wir eine Zunahme von Angreifern beobachtet, die die Chrome-Ferndiagnose verwenden, um Cookies zu extrahieren.“ Das Unternehmen änderte deshalb das Verhalten der Ferndiagnose ab Chrome 136. Seitdem ignoriert Chrome die Schalter –remote-debugging-port und –remote-debugging-pipe, wenn sie auf das Standard-Datenverzeichnis von Chrome zielen, es sei denn, sie werden zusammen mit einem nicht standardmäßigen –user-data-dir verwendet. Dieses abweichende Datenverzeichnis nutzt einen anderen Verschlüsselungsschlüssel, der laut Google die Chrome-Daten vor Angreifern schützen soll.
Nach Darstellung von SpecterOps umgeht CDP-Enable-BOF diesen Ansatz, indem die Debugging-Schnittstelle innerhalb eines bereits bestehenden Browserprozesses aktiviert wird. Das Repository erklärt, dass der abschließende Aufruf auf dem Benutzeroberflächen-Thread des Browsers ausgeführt wird, um die Technik auch bei CFG-, TLS- und CET-sensibler Ausführung zuverlässig zu machen. Ob dafür in jedem Fall Administratorrechte nötig sind, geht aus dem öffentlichen Repository nicht hervor. The Hacker News hat SpecterOps nach den erforderlichen Rechten und der Kompatibilität mit aktuellen Browserversionen gefragt und will den Bericht bei einer Antwort aktualisieren.
Das Projekt baut auf früheren Arbeiten auf. Als Grundlage nennt das Repository unter anderem DeathFlamingo, der im Dezember 2025 die Injektion von CDP in einen laufenden Edge-Browser dokumentierte, sowie Cedric Van Bockhaven mit „Moderne Sitzungsübernahme durch Nutzung des DevTools Protocol“.
Ist der Endpunkt verfügbar, kann laut SpecterOps das CDP-Toolkit direkt mit dem Browser interagieren oder dessen interne WebUI-Oberflächen automatisieren. Im Screencast-Modus bleiben Cookies, Browser-Speicher, Unternehmens-Authentifizierungsstatus, WebAuthn-Verhalten, Erweiterungen und browserspezifisches JavaScript-Verhalten innerhalb der auf dem kompromittierten System laufenden Chrome- oder Edge-Instanz. Im Proxy-Modus laufen Anfragen über Browser-Ziele, die den authentifizierten Zustand des Opfers auf dem kompromittierten Endpunkt mitführen; dabei bleiben Cookies und, soweit CDP sie offenlegt, auch der User-Agent des Browsers erhalten.
Auch auf Schutzmechanismen geht der Bericht ein. Googles Device Bound Session Credentials, die mit Chrome 146 für Windows-Nutzer verfügbar wurden, binden die Erneuerung einer Sitzung an einen hardwaregestützten Schlüssel und sollen verhindern, dass gestohlene Cookies auf einem anderen Gerät zur Sitzungserneuerung verwendet werden. SpecterOps beschreibt keine Extraktion dieses privaten Schlüssels, erklärt aber, dass die Arbeit innerhalb des authentifizierten Browser-Kontexts Schutzmaßnahmen umgehen kann, die Wiederverwendung außerhalb des Geräts verhindern sollen.
Für die Erkennung verweist SpecterOps auf Microsoft Sysmon. Laut Microsoft steht Ereignis-ID 8 für CreateRemoteThread, also das Erzeugen eines Threads in einem anderen Prozess, und Ereignis-ID 10 für ProcessAccess, also das Öffnen eines anderen Prozesses. Microsoft weist darauf hin, dass Ereignis-ID 8 auf Code-Injektion hindeuten kann, während ProcessAccess sehr viele Protokolleinträge erzeugen kann und daher in der Regel mit Filtern genutzt werden sollte.
The Hacker News bestätigte über GitHub am 14. August, dass das öffentliche BOF weiterhin Chrome 147.0.7727.102 und Edge 147.0.3912.98 als getestete Versionen aufführt und die Signaturen als versionsspezifisch beschreibt. Das Repository enthält Skripte, um neue Signaturen abzuleiten, wenn Browser-Updates die Symbolauflösung scheitern lassen. Es belegt jedoch nicht, dass die mitgelieferten Signaturen unverändert auch mit späteren Browserversionen funktionieren.
Die Veröffentlichung erfolgte einen Tag nach der Bekanntmachung von AmnesiaStealer. Diese Malware zielt auf macOS-Nutzer und nutzt laut Jamf Threat Labs ein stream_module, das einem Angreifer verdeckte interaktive Kontrolle über einen Chromium-Browser gibt. Jamf Threat Labs erklärte, die Komponente unterstütze Tastatur, Maus, Scrollen, Navigation und Tab-Verwaltung über CDP und habe in der Analyse Cookies im Klartext exportiert, während die Windows-Forschung von SpecterOps CDP innerhalb eines bereits laufenden Chrome- oder Edge-Prozesses des Opfers aktiviert.