{"id":23193,"date":"2025-10-02T08:00:00","date_gmt":"2025-10-02T11:00:00","guid":{"rendered":"https:\/\/www.ethicalhacker.com.br\/site\/?p=23193"},"modified":"2025-09-07T20:57:08","modified_gmt":"2025-09-07T23:57:08","slug":"gerenciadores-de-senha-vulneraveis-a-clickjacking","status":"publish","type":"post","link":"https:\/\/www.ethicalhacker.com.br\/site\/2025\/10\/exploits\/gerenciadores-de-senha-vulneraveis-a-clickjacking\/","title":{"rendered":"Gerenciadores de senha vulner\u00e1veis a clickjacking"},"content":{"rendered":"\n<p style=\"text-align: justify;\" data-start=\"293\" data-end=\"395\"><strong data-start=\"293\" data-end=\"395\">Gerenciadores de senha vulner\u00e1veis a clickjacking: Riscos cr\u00edticos e estrat\u00e9gias de defesa<\/strong><\/p>\n<p style=\"text-align: justify;\" data-start=\"293\" data-end=\"395\">Pesquisas recentes revelaram uma vulnerabilidade alarmante: certos gerenciadores de senha em forma de extens\u00f5es para navegador est\u00e3o expostos a uma t\u00e9cnica sofisticada chamada de <em data-start=\"593\" data-end=\"622\">clickjacking baseado no DOM<\/em> (<em data-start=\"624\" data-end=\"658\">DOM-based extension clickjacking<\/em>). Essa falha permite que, com um \u00fanico clique em um site malicioso, usu\u00e1rios tenham seus dados confidenciais \u2014 incluindo credenciais de login, c\u00f3digos de autentica\u00e7\u00e3o em dois fatores (TOTP), cart\u00f5es de cr\u00e9dito e at\u00e9 passkeys \u2014 automaticamente preenchidos e exfiltrados sem perceber. A apresenta\u00e7\u00e3o dessas descobertas foi feita no DEF CON 33 pelo pesquisador Marek T\u00f3th.<\/p>\n<p style=\"text-align: justify;\" data-start=\"293\" data-end=\"395\">\u00a0<\/p>\n<p style=\"text-align: justify;\" data-start=\"1068\" data-end=\"1614\"><strong data-start=\"1068\" data-end=\"1108\">Como funciona o ataque e seu alcance<\/strong><\/p>\n<p style=\"text-align: justify;\" data-start=\"1068\" data-end=\"1614\">Essa nova forma de <em data-start=\"1130\" data-end=\"1144\">clickjacking<\/em> manipula elementos injetados no DOM por extens\u00f5es de gerenciadores de senha, tornando-os invis\u00edveis \u2014 por exemplo, ajustando a propriedade CSS <code data-start=\"1288\" data-end=\"1297\">opacity<\/code> para zero \u2014 enquanto os mant\u00e9m funcionalmente ativos. Em seguida, uma sobreposi\u00e7\u00e3o falsa, como um banner de consentimento de cookies ou um CAPTCHA, \u00e9 posicionada de modo que o clique do usu\u00e1rio ativa discretamente o preenchimento autom\u00e1tico da extens\u00e3o, expondo dados sigilosos.<\/p>\n<p style=\"text-align: justify;\" data-start=\"1616\" data-end=\"1926\">A pesquisa testou onze dos gerenciadores de senha mais populares \u2014 incluindo 1Password, Bitwarden, LastPass, iCloud Passwords, Enpass e LogMeOnce \u2014 e constatou vulnerabilidades em todos eles sob certas condi\u00e7\u00f5es, com impacto potencial para cerca de 40 milh\u00f5es de usu\u00e1rios.<\/p>\n<p style=\"text-align: justify;\" data-start=\"1616\" data-end=\"1926\">\u00a0<\/p>\n<p style=\"text-align: justify;\" data-start=\"1928\" data-end=\"1983\"><strong data-start=\"1928\" data-end=\"1981\">Resultados detalhados e resposta dos fornecedores<\/strong><\/p>\n<ul style=\"text-align: justify;\" data-start=\"1984\" data-end=\"2333\">\n<li data-start=\"1984\" data-end=\"2064\">\n<p data-start=\"1986\" data-end=\"2064\"><strong data-start=\"1986\" data-end=\"2010\">Credenciais de login<\/strong> foram comprometidas em 10 de 11 extens\u00f5es testadas.<\/p>\n<\/li>\n<li data-start=\"2065\" data-end=\"2162\">\n<p data-start=\"2067\" data-end=\"2162\"><strong data-start=\"2067\" data-end=\"2097\">Dados de cart\u00e3o de cr\u00e9dito<\/strong>, inclusive c\u00f3digos CVV, puderam ser extra\u00eddos em 6 de 9 casos.<\/p>\n<\/li>\n<li data-start=\"2163\" data-end=\"2234\">\n<p data-start=\"2165\" data-end=\"2234\"><strong data-start=\"2165\" data-end=\"2183\">Dados pessoais<\/strong> foram acess\u00edveis em 8 de 10 extens\u00f5es avaliadas.<\/p>\n<\/li>\n<li data-start=\"2235\" data-end=\"2333\">\n<p data-start=\"2237\" data-end=\"2333\"><strong data-start=\"2237\" data-end=\"2249\">Passkeys<\/strong> tamb\u00e9m foram explor\u00e1veis em 8 de 11 cen\u00e1rios.<\/p>\n<\/li>\n<\/ul>\n<p style=\"text-align: justify;\" data-start=\"2335\" data-end=\"2737\">Entre os fornecedores que reagiram prontamente com corre\u00e7\u00f5es est\u00e3o Dashlane, NordPass, ProtonPass, RoboForm e Keeper. J\u00e1 Bitwarden lan\u00e7ou a vers\u00e3o 2025.8.0 com mitiga\u00e7\u00e3o, enquanto outras empresas como 1Password, LastPass, Enpass, iCloud Passwords e LogMeOnce ainda n\u00e3o entregaram corre\u00e7\u00f5es ou reagiram apenas de forma parcial.<\/p>\n<p style=\"text-align: justify;\" data-start=\"2335\" data-end=\"2737\">\u00a0<\/p>\n<p style=\"text-align: justify;\" data-start=\"2739\" data-end=\"3238\"><strong data-start=\"2739\" data-end=\"2789\">Implica\u00e7\u00f5es de seguran\u00e7a e contexto mais amplo<\/strong><\/p>\n<p style=\"text-align: justify;\" data-start=\"2739\" data-end=\"3238\">A amea\u00e7a evidencia que <em data-start=\"2815\" data-end=\"2829\">clickjacking<\/em>, apesar de conhecido, evoluiu para atingir extens\u00f5es com privil\u00e9gios elevados \u2014 algo tradicionalmente n\u00e3o previsto nas prote\u00e7\u00f5es baseadas em headers como <em data-start=\"2984\" data-end=\"3001\">X-Frame-Options<\/em> ou pol\u00edticas de seguran\u00e7a de conte\u00fado (CSP). A manipula\u00e7\u00e3o do DOM exige contramedidas diretamente nas extens\u00f5es, ampliando o leque de vetores de ataque que precisam ser bloqueados de forma proativa.<\/p>\n<p style=\"text-align: justify;\" data-start=\"3240\" data-end=\"3505\">A gravidade da situa\u00e7\u00e3o foi complementada por an\u00e1lises independentes como as da Socket e da m\u00eddia especializada, que confirmaram a validade do estudo e ajudaram a acelerar a comunica\u00e7\u00e3o com os fornecedores para emiss\u00e3o de CVEs.<\/p>\n<p style=\"text-align: justify;\" data-start=\"3240\" data-end=\"3505\">\u00a0<\/p>\n<p style=\"text-align: justify;\" data-start=\"3507\" data-end=\"3627\"><strong data-start=\"3507\" data-end=\"3548\">Estrat\u00e9gias de mitiga\u00e7\u00e3o recomendadas<\/strong><\/p>\n<p style=\"text-align: justify;\" data-start=\"3507\" data-end=\"3627\">Enquanto corre\u00e7\u00f5es completas n\u00e3o s\u00e3o universalmente aplicadas, recomenda-se:<\/p>\n<ul style=\"text-align: justify;\" data-start=\"3629\" data-end=\"4453\">\n<li data-start=\"3629\" data-end=\"3789\">\n<p data-start=\"3631\" data-end=\"3789\"><strong data-start=\"3631\" data-end=\"3681\">Desativar a fun\u00e7\u00e3o de preenchimento autom\u00e1tico<\/strong> dos gerenciadores de senha e usar <em data-start=\"3716\" data-end=\"3728\">copy\/paste<\/em> sempre que poss\u00edvel.<\/p>\n<\/li>\n<li data-start=\"3790\" data-end=\"3996\">\n<p data-start=\"3792\" data-end=\"3996\"><strong data-start=\"3792\" data-end=\"3849\">Ajustar extens\u00f5es em navegadores baseados em Chromium<\/strong> para funcionar apenas \u201con click\u201d, exigindo intera\u00e7\u00e3o expl\u00edcita antes de qualquer preenchimento autom\u00e1tico.<\/p>\n<\/li>\n<li data-start=\"3997\" data-end=\"4187\">\n<p data-start=\"3999\" data-end=\"4187\"><strong data-start=\"3999\" data-end=\"4070\">Se poss\u00edvel, utilizar gerenciadores que funcionam fora do navegador<\/strong>, ou daqueles que j\u00e1 receberam corre\u00e7\u00f5es, reduzindo a superf\u00edcie de ataque.<\/p>\n<\/li>\n<li data-start=\"4188\" data-end=\"4453\">\n<p data-start=\"4190\" data-end=\"4453\"><strong data-start=\"4190\" data-end=\"4225\">Manter as extens\u00f5es atualizadas<\/strong>, garantindo que sejam instaladas vers\u00f5es com corre\u00e7\u00f5es fornecidas pelos desenvolvedores. Em especial, migrar para vers\u00f5es como a do Bitwarden 2025.8.0 ou similares, assim que dispon\u00edveis.<\/p>\n<\/li>\n<\/ul>\n<p style=\"text-align: justify;\">\u00a0<\/p>\n<p style=\"text-align: justify;\" data-start=\"4455\" data-end=\"5222\"><strong data-start=\"4455\" data-end=\"4468\">Conclus\u00e3o<\/strong><\/p>\n<p style=\"text-align: justify;\" data-start=\"4455\" data-end=\"5222\">A descoberta do <em data-start=\"4487\" data-end=\"4521\">DOM-based extension clickjacking<\/em> representa um passo significativo na evolu\u00e7\u00e3o de ataques direcionados a interfaces aparentemente seguras. Ao explorar o preenchimento autom\u00e1tico de gerenciadores de senha, o ataque transforma um recurso conveniente em uma vulnerabilidade cr\u00edtica. O impacto atinge milh\u00f5es de usu\u00e1rios e desafia a capacidade de defesa das extens\u00f5es tradicionais. A resposta imediata \u2014 na forma de desativar autofill e aplicar pol\u00edticas de \u201con click\u201d \u2014 \u00e9 fundamental enquanto os fornecedores n\u00e3o corrigem plenamente seus produtos. O cen\u00e1rio confirma que a seguran\u00e7a digital deve considerar, de forma integrada, n\u00e3o apenas os sites e aplicativos, mas tamb\u00e9m as extens\u00f5es que operam com privil\u00e9gios elevados no navegador.<\/p>\n<p data-start=\"4455\" data-end=\"5222\">\u00a0<\/p>\n<p data-start=\"5224\" data-end=\"5256\"><strong data-start=\"5224\" data-end=\"5254\">Refer\u00eancias bibliogr\u00e1ficas<\/strong><\/p>\n<ul data-start=\"5257\" data-end=\"5686\">\n<li data-start=\"5257\" data-end=\"5461\">\n<p data-start=\"5260\" data-end=\"5461\"><em data-start=\"5260\" data-end=\"5343\">DOM-Based Extension Clickjacking Exposes Popular Password Manager Browser Add-ons<\/em> \u2014 The Hacker News, 20 de agosto de 2025. Dispon\u00edvel em: <a href=\"https:\/\/thehackernews.com\/2025\/08\/dom-based-extension-clickjacking.html?utm_source=chatgpt.com\" target=\"_blank\" rel=\"noopener\">https:\/\/thehackernews.com\/2025\/08\/dom-based-extension-clickjacking.html?utm_source=chatgpt.com<\/a><\/p>\n<\/li>\n<li data-start=\"5462\" data-end=\"5686\">\n<p data-start=\"5465\" data-end=\"5686\"><em data-start=\"5465\" data-end=\"5535\">DOM-based Extension Clickjacking: Your Password Manager Data at Risk<\/em> \u2014 Blog de Marek T\u00f3th, 9 de agosto de 2025 (atualizado em 17 de agosto de 2025). Dispon\u00edvel em: <a href=\"https:\/\/marektoth.com\/blog\/dom-based-extension-clickjacking\/?utm_source=chatgpt.com\" target=\"_blank\" rel=\"noopener\">https:\/\/marektoth.com\/blog\/dom-based-extension-clickjacking\/?utm_source=chatgpt.com<\/a><\/p>\n<\/li>\n<\/ul>\n\n\n","protected":false},"excerpt":{"rendered":"<p>Gerenciadores de senha vulner\u00e1veis a clickjacking: Riscos cr\u00edticos e estrat\u00e9gias de defesa Pesquisas recentes revelaram uma vulnerabilidade alarmante: certos gerenciadores de senha em forma de extens\u00f5es para navegador est\u00e3o expostos a uma t\u00e9cnica sofisticada chamada de clickjacking baseado no DOM (DOM-based extension clickjacking). Essa falha permite que, com um \u00fanico clique em um site malicioso, [&hellip;]<\/p>\n","protected":false},"author":2,"featured_media":23174,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[89,100,21,105],"tags":[],"class_list":["post-23193","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-basico","category-diversos","category-exploits","category-noticias"],"_links":{"self":[{"href":"https:\/\/www.ethicalhacker.com.br\/site\/wp-json\/wp\/v2\/posts\/23193","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.ethicalhacker.com.br\/site\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.ethicalhacker.com.br\/site\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.ethicalhacker.com.br\/site\/wp-json\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/www.ethicalhacker.com.br\/site\/wp-json\/wp\/v2\/comments?post=23193"}],"version-history":[{"count":2,"href":"https:\/\/www.ethicalhacker.com.br\/site\/wp-json\/wp\/v2\/posts\/23193\/revisions"}],"predecessor-version":[{"id":23195,"href":"https:\/\/www.ethicalhacker.com.br\/site\/wp-json\/wp\/v2\/posts\/23193\/revisions\/23195"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.ethicalhacker.com.br\/site\/wp-json\/wp\/v2\/media\/23174"}],"wp:attachment":[{"href":"https:\/\/www.ethicalhacker.com.br\/site\/wp-json\/wp\/v2\/media?parent=23193"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.ethicalhacker.com.br\/site\/wp-json\/wp\/v2\/categories?post=23193"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.ethicalhacker.com.br\/site\/wp-json\/wp\/v2\/tags?post=23193"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}