SOCRadar ha descritto PEEP, un toolkit post-compromise che trasforma Google Chrome e Microsoft Edge in un piano di controllo persistente dopo la compromissione. Il punto non è una semplice estensione malevola. Il punto è che il malware vive dentro processi del browser firmati e dentro il suo stato di fiducia.
PEEP inserisce una finta estensione nei profili Chromium forzando i valori di integrità di Secure Preferences, così da passare come installazione legittima. Poi usa il canale native-messaging per far eseguire comandi al sistema operativo e per leggere cookie di sessione, cronologia e tab attivi. In questo modo il browser diventa insieme punto di accesso, canale di comando e strumento di esfiltrazione.
Per chi gestisce Chrome o Edge in azienda, la conseguenza è chiara: la sola difesa basata su binari o sul Web Store può non vedere la persistenza che resta nel profilo del browser. Se gli utenti lavorano in SSO e sessioni basate su cookie, il furto della sessione può aggirare la password senza toccare l’identity provider.