ChromElevator _{^{(Chrome App-Bound Encryption Decryption)}}

🚀 نظرة عامة

أداة استغلال ما بعد الاختراق توضح تجاوزًا كاملاً في الذاكرة لتشفير App-Bound Encryption (ABE) الخاص بـ Chromium. يستخدم هذا المشروع التفريغ الانعكاسي للعمليات القائم على استدعاءات النظام المباشرة لتشغيل عملية متصفح شرعية في حالة معلّقة، مع حقن حمولة بخفية لاختطاف هويتها وسياقها الأمني. تقنية Living-off-the-Land (LOTL) هذه تقوّض نموذج الأمان الخاص بالمتصفح نفسه. النهج غير الملفي يسمح للأداة بالعمل بالكامل من الذاكرة، متجاوزةً خطافات واجهات برمجة التطبيقات في وضع المستخدم لفك تشفير واستخراج بيانات المستخدم الحساسة (ملفات تعريف الارتباط، كلمات المرور، المدفوعات) من متصفحات Chromium الحديثة.

إذا وجدت هذا البحث قيّمًا، سأقدّر كوب قهوة:

🛡️ الركائز التقنية الأساسية

تعود فعالية هذه الأداة إلى مزيج من التقنيات الحديثة المركّزة على التخفي:

• استدعاءات النظام المباشرة للمراوغة: تتجاوز خطافات وضع المستخدم الخاصة بـ EDR/AV على دوال WinAPI القياسية باستدعاء دوال النواة مباشرة. يقوم المحرك بحل أرقام استدعاءات النظام ديناميكيًا في وقت التشغيل باستخدام تقنية Hell's Gate مع مطابقة الدوال بالاعتماد على التجزئة (لا توجد أسماء استدعاءات نظام بنص صريح داخل الملف الثنائي).

• تفريغ العمليات القائم على استدعاءات النظام المباشرة: تقنية خفية لإنشاء العمليات وحقنها. فبدلاً من الحقن في عملية عالية الحركة وربما مراقَبة، تنشئ عملية مضيفة جديدة معلّقة. وهذا يقلل بشكل كبير من فرص الاكتشاف، إذ تتم جميع عمليات التلاعب بالذاكرة قبل بدء التنفيذ الطبيعي للعملية.

• الحمولة غير الملفية في الذاكرة: لا تلمس حمولة DLL القرص على الجهاز المستهدف إطلاقًا. فهي مضمّنة كمصفوفة بايت مشفّرة بتقنية ChaCha20 في وقت الترجمة مع مفاتيح مشتقة في وقت الترجمة، ويتم فك تشفيرها في الذاكرة وتحميلها انعكاسيًا، مما يقلل من بصمتها الجنائية ويتجاوز الماسحات القائمة على الملفات الثابتة.

• حقن DLL الانعكاسي (RDI): طريقة حقن خفية في العمليات تتجاوز LoadLibrary للحمولة الرئيسية، وبالتالي تتفادى آليات الكشف التي تراقب تحميل الوحدات. يقوم مُحمِّل التمهيد المكتفي بذاته بتعيين أقسام PE، وينفّذ إعادة التوطين (relocations)، ويحل الاستيرادات من الذاكرة.

• استدعاء COM في سياق الهدف: وهو العنصر الحاسم لهزيمة App-Bound Encryption. من خلال تنفيذ الكود داخل عملية المتصفح الموثوقة، نرث هويتها وسياقها الأمني، مما يسمح لنا بتوجيه استدعاءات تبدو شرعية إلى خادم COM الخاص بـ ABE وتلبية فحوصات التحقق من المسار الأمنية.

⚙️ الميزات

الوظائف الأساسية

• 🔓 فك تشفير كامل في وضع المستخدم لملفات تعريف الارتباط وكلمات المرور ووسائل الدفع وأرقام IBAN ورموز OAuth من Google.
• 📁 يكتشف ويعالج جميع ملفات تعريف المستخدمين (Default، Profile 1، إلخ).
• 📝 يصدّر جميع البيانات المستخرجة إلى ملفات JSON منظمة، مرتبة حسب الملف الشخصي.
• 🔍 بصمة متصفح شاملة مع معلومات النظام.

التخفي والمراوغة

• 🛡️ تسليم حمولة بدون ملفات: فك تشفير وحقن حمولة مضمّنة مشفّرة بالكامل في الذاكرة.
• 🛡️ محرك استدعاءات النظام المباشرة: يتجاوز الدفاعات الشائعة لنقاط النهاية بتجنّب واجهات برمجة التطبيقات المخطوفة على مستوى وضع المستخدم في جميع عمليات المعالجة.
• 🛡️ حل أرقام استدعاءات النظام بالتجزئة: لا توجد أسماء دوال Nt*/Zw* بنص صريح في الملف الثنائي — يستخدم تجزئات DJB2 في وقت الترجمة.
• 🛡️ اشتقاق المفاتيح في وقت الترجمة: مفاتيح التشفير مشتقة من بيانات البناء، فريدة لكل بناء.
• 🛡️ تدمير ترويسات PE: بعد الحقن، تُمسح ترويسات PE ببيانات شبه عشوائية لتفادي ماسحات الذاكرة.
• 🛡️ محاكاة IPC: أنماط named pipe خاصة بكل متصفح تندمج مع حركة IPC المشروعة للمتصفح.
• 🤫 تفريغ العملية: ينشئ عملية مضيفة معلّقة وحميدة للحمولة، متجنبًا الحقن في عمليات قد تكون مراقَبة.
• 👻 حقن DLL انعكاسي: يحمّل الحمولة بخفية دون استدعاءات LoadLibrary مريبة.
• 🔒 تجاوز قفل الملفات دون اقتحام: يستخدم تكرار المقابض (handle duplication) القائم على استدعاءات النظام للوصول إلى قواعد بيانات SQLite المقفلة دون إنهاء عمليات المتصفح. يتوفر خيار --kill اختياري لإنهاء العملية بالكامل.
• 💼 لا يتطلب صلاحيات مسؤول: يعمل بالكامل ضمن السياق الأمني للمستخدم.

التوافق وسهولة الاستخدام

• 🌐 يعمل على Google Chrome وBrave وEdge وAvast Secure Browser.
• 💻 يدعم بنيوياً معماريتي x64 وARM64.
• 🚀 تشغيل مستقل: ينشئ تلقائيًا عملية متصفح جديدة لاستضافة الحمولة، دون الحاجة إلى نسخ قيد التشغيل مسبقًا.
• 📁 دليل إخراج قابل للتخصيص للبيانات المستخرجة.

📦 الإصدارات المدعومة والمختبرة

المتصفح	الإصدار المختبر (x64 وARM64)
Google Chrome	144.0.7559.133
Google Chrome Beta	145.0.7632.18
Brave	1.86.148 (144.1.86.148)
Microsoft Edge	145.0.3800.36
Avast Secure Browser	143.0.33371.147

ملاحظة: تستخدم الإصدارات 144+ من Chrome/Brave/Edge واجهة COM الجديدة IElevator2. تستخدم هذه الأداة تلقائيًا IElevator2 عند توفره وتتراجع إلى IElevator للإصدارات الأقدم. يستخدم Avast Secure Browser واجهة IElevatorChrome مخصصة مع جدول vtable موسّع (12 دالة، وDecryptData عند الإزاحة 104).

🔍 مصفوفة دعم الميزات

توضح هذه المصفوفة قدرات الاستخراج لكل متصفح مدعوم.

الخاصية	Google Chrome	Microsoft Edge	Brave	Avast Secure Browser
ملفات تعريف الارتباط	✅ ABE	✅ ABE	✅ ABE	✅ ABE
كلمات المرور	✅ ABE	✅ ABE	✅ ABE	✅ ABE
وسائل الدفع	✅ ABE	✅ ABE	✅ ABE	✅ ABE
أرقام IBAN	✅ ABE	❌ N/A	✅ ABE	✅ ABE
رموز المصادقة	✅ Google	❌ N/A	❌ N/A	❌ N/A

🔬 سير العمل التقني

يركّز تنفيذ الأداة على التخفي والكفاءة، وهو مبني حول عملية التفريغ الانعكاسي القائم على استدعاءات النظام المباشرة. يضمن هذا النهج إجراء عدد قليل من استدعاءات واجهات برمجة التطبيقات عالية المستوى، وعمل الحمولة من داخل عملية متصفح جديدة وشرعية.

المرحلة 1: الحاقن (chromelevator.exe)