DumpBrowserSecrets

DumpBrowserSecrets

يستخرج البيانات المخزنة في المتصفحات مثل رموز التحديث (refresh tokens)، وملفات تعريف الارتباط (cookies)، وبيانات الاعتماد المحفوظة، وبطاقات الائتمان، وإدخالات الإكمال التلقائي، وسجل التصفح، والإشارات المرجعية من المتصفحات الحديثة القائمة على Chromium و Gecko (Chrome، و Microsoft Edge، و Firefox، و Opera، و Opera GX، و Vivaldi).

روابط سريعة

الصفحة الرئيسية لأكاديمية Maldev

قاعدة بيانات Maldev

منهج دورة تطوير البرامج الضارة

منهج دورة عمليات التصيد الهجومي

منهج دورة داخليات الفدية والمحاكاة والكشف

كيف يعمل

هذا المشروع هو نسخة محسّنة من DumpChromeSecrets، ويتكون بالمثل من مكونين:

1. الملف التنفيذي (DumpBrowserSecrets.exe)

يقوم بإنشاء عملية Chromium غير مرئية (headless)، ويحقن الـ DLL عبر حقن Early Bird APC، ويستقبل مفاتيح فك التشفير المستخرجة. هذه المفاتيح إما أن تكون مرتبطة بالتطبيق (App-Bound) (مستخرجة من Chrome و Brave و Microsoft Edge) أو مفاتيح DPAPI (المستخدمة من قبل Opera و Opera GX و Vivaldi). بمجرد استعادة المفاتيح المطلوبة، يقوم هذا الملف التنفيذي بتحليل قواعد بيانات SQLite وملفات JSON الخاصة بالمتصفح على القرص وفك تشفير البيانات المخزنة، بما في ذلك بيانات الاعتماد وملفات تعريف الارتباط والرموز وبيانات التصفح الأخرى. بالإضافة إلى ذلك، عند استهداف المتصفحات غير القائمة على Chromium (مثل Firefox)، يتولى DumpBrowserSecrets.exe جميع الخطوات المطلوبة لاستخراج البيانات وفك تشفيرها (بدون حقن DLL).

2. DLL (DllExtractChromiumSecrets.dll)

يعمل داخل متصفحات Chromium لفك تشفير مفتاح التشفير المرتبط بالتطبيق (App-Bound encryption key) باستخدام واجهة COM IElevator. يستخدم واجهة COM IElevator لفك تشفير مفتاح التشفير المرتبط بالتطبيق واسترداد القيم المُفككة لـ app_bound_encrypted_key و encrypted_key من ملف Local State الخاص بالمتصفح المستهدف. يتم إرجاع هذه القيم إلى الملف التنفيذي، الذي يقوم بجميع عمليات الاستخراج.

[!NOTE] على عكس مشروع DumpChromeSecrets، يقوم هذا التنفيذ بجميع عمليات استخراج بيانات المتصفح في الملف التنفيذي DumpBrowserSecrets.exe، بينما يقتصر دور الـ DLL على استرجاع مفاتيح التشفير من المتصفحات القائمة على Chromium.

الميزات

فيما يلي بعض أبرز الميزات المقدمة:

• إخفاء النصوص أثناء وقت الترجمة (compile-time string obfuscation) وتبديل أسماء API (API hashing) للتهرب من التحليل الثابت.
• تزوير PPID والوسائط عبر NtCreateUserProcess مع تسجيل CSRSS يدوي.
• محلل مخصص لتنسيق ملف SQLite3 (SQLoot)، يحل محل sqlite-amalgamation في الإصدارات > v1.1.1.
• تكرار المقابض (handle duplication) لتجاوز أقفال الملفات التي تحتجزها المتصفحات قيد التشغيل.
• حزم إخراج مشفرة لفك التشفير دون اتصال باستخدام توقيع يحدده المستخدم.

الاستخدام

Usage: DumpBrowserSecrets.exe [options]

Extraction Options:
  /b:<browser> Target Browser: Chrome, Edge, Brave, Opera, Operagx, Vivaldi, Firefox, All
               Can Be Specified Multiple Times
  /enc:<sig>   Encrypt JSON Output With Signature (1-8 Bytes)
  /spoof       Enable Argument and PPID Spoofing When Retrieving ABE Keys
  /e:<count>   Max Extracted Entries Per Category (Default: 16, 'all' For No Limit)

Decryption Options:
  /dec:<sig>   Decrypt Mode With The Same Signature Used When Encrypting(1-8 Bytes)
  /i <file>    Input Encrypted Pack File (Required For Decryption)
  /?           Show This Help Message

Examples:
  DumpBrowserSecrets.exe                                        Extract 16 Entries From The Default Browser
  DumpBrowserSecrets.exe /b:chrome /b:edge /spoof /e:100        Extract 100 Entries From Chrome And Edge With PPID Spoofing
  DumpBrowserSecrets.exe /b:firefox /e:all /enc:SIG213          Extract All Entries From FireFox To Encrypted Pack
  DumpBrowserSecrets.exe /b:all /e:all /enc:0xCAFEBABE          Extract All Entries From All Browsers To Encrypted Pack
  DumpBrowserSecrets.exe /dec:0xCAFEBABE /i EncPack-XXXXX.bin   Decrypt Pack File To JSON Files

البيانات المستخرجة

تعرض الجداول أدناه المواقع الدقيقة للبيانات، والتنسيقات، ونماذج التشفير المستخدمة من قبل كل متصفح مدعوم.

Chrome (App-Bound)

Edge (App-Bound)

Brave (App-Bound)

Opera (DPAPI)

Opera GX (DPAPI)

Vivaldi (DPAPI)

Firefox (NSS)

الاعتمادات

• تنفيذ تسجيل عملية CSRSS يدوي من NtCreateUserProcess-Post
• بحث واجهة COM الخاصة بـ IElevator في Chrome من snovvcrash's gist
• بحث واجهة COM الخاصة بـ IElevator في Edge و Brave من Chrome-App-Bound-Encryption-Decryption
• luci4 للإرشاد الفني
• تجميع SQLite من sqlite.org في الإصدارات <= v1.1.1

العرض التوضيحي

https://github.com/user-attachments/assets/4290d525-7d5f-4a65-8624-2f9fa752e186