DumpBrowserSecrets

DumpBrowserSecrets

Extrahiert im Browser gespeicherte Daten wie Refresh-Token, Cookies, gespeicherte Anmeldeinformationen, Kreditkarten, Autovervollständigungsdaten, Browserverlauf und Lesezeichen aus modernen Chromium-basierten und Gecko-basierten Browsern (Chrome, Microsoft Edge, Firefox, Opera, Opera GX und Vivaldi).

Schnellzugriffe

Maldev Academy Home

Maldev Database

Malware Development Course Syllabus

Offensive Phishing Operations Course Syllabus

Ransomware Internals, Simulation and Detection Course Syllabus

Wie funktioniert es

Dieses Projekt ist eine verbesserte Version von DumpChromeSecrets und besteht ebenfalls aus zwei Komponenten:

1. Ausführbare Datei (DumpBrowserSecrets.exe)

Erstellt einen kopflosen Chromium-Prozess, injiziert die DLL mittels Early Bird APC Injection und empfängt extrahierte Entschlüsselungsschlüssel. Diese Schlüssel sind entweder App-gebunden (extrahiert aus Chrome, Brave und Microsoft Edge) oder DPAPI-Schlüssel (verwendet von Opera, Opera GX und Vivaldi). Sobald die erforderlichen Schlüssel wiederhergestellt wurden, analysiert diese ausführbare Datei die SQLite-Datenbanken und JSON-Dateien des Browsers auf der Festplatte und entschlüsselt die gespeicherten Daten, einschließlich Anmeldeinformationen, Cookies, Token und anderer Browserdaten. Zusätzlich übernimmt DumpBrowserSecrets.exe bei Browsern, die nicht auf Chromium basieren (z. B. Firefox), alle erforderlichen Schritte zur Datenextraktion und -entschlüsselung (ohne DLL-Injection).

2. DLL (DllExtractChromiumSecrets.dll)

Wird innerhalb von Chromium-Browsern ausgeführt, um den App-gebundenen Verschlüsselungsschlüssel mithilfe der IElevator-COM-Schnittstelle zu entschlüsseln. Dabei wird die IElevator-COM-Schnittstelle genutzt, um den App-gebundenen Verschlüsselungsschlüssel zu entschlüsseln, und die entschlüsselten Werte von app_bound_encrypted_key und encrypted_key aus der Datei Local State des Zielbrowsers abgerufen. Diese Werte werden dann an die ausführbare Datei zurückgegeben, die alle Extraktionsvorgänge durchführt.

[!NOTE] Im Gegensatz zum Projekt DumpChromeSecrets führt diese Implementierung die gesamte Browserextraktion in der ausführbaren Datei DumpBrowserSecrets.exe durch, während die DLL auf das Abrufen von Verschlüsselungsschlüsseln aus Chromium-basierten Browsern beschränkt ist.

Funktionen

Nachfolgend sind einige der bemerkenswertesten Funktionen aufgeführt:

• Compile-Zeit-String-Verschleierung und API-Hashing zur Umgehung statischer Analyse.
• PPID- und Argument-Spoofing mittels NtCreateUserProcess mit manueller CSRSS-Registrierung.
• Eigener SQLite3-Dateiformatparser (SQLoot) als Ersatz für sqlite-amalgamation in > v1.1.1.
• Handle-Duplikation, um von laufenden Browsern gehaltene Dateisperren zu umgehen.
• Verschlüsselte Ausgabepakete zur Offline-Entschlüsselung mit einer benutzerdefinierten Signatur.

Verwendung

Usage: DumpBrowserSecrets.exe [options]

Extraction Options:
  /b:<browser> Target Browser: Chrome, Edge, Brave, Opera, Operagx, Vivaldi, Firefox, All
               Can Be Specified Multiple Times
  /enc:<sig>   Encrypt JSON Output With Signature (1-8 Bytes)
  /spoof       Enable Argument and PPID Spoofing When Retrieving ABE Keys
  /e:<count>   Max Extracted Entries Per Category (Default: 16, 'all' For No Limit)

Decryption Options:
  /dec:<sig>   Decrypt Mode With The Same Signature Used When Encrypting(1-8 Bytes)
  /i <file>    Input Encrypted Pack File (Required For Decryption)
  /?           Show This Help Message

Examples:
  DumpBrowserSecrets.exe                                        Extract 16 Entries From The Default Browser
  DumpBrowserSecrets.exe /b:chrome /b:edge /spoof /e:100        Extract 100 Entries From Chrome And Edge With PPID Spoofing
  DumpBrowserSecrets.exe /b:firefox /e:all /enc:SIG213          Extract All Entries From FireFox To Encrypted Pack
  DumpBrowserSecrets.exe /b:all /e:all /enc:0xCAFEBABE          Extract All Entries From All Browsers To Encrypted Pack
  DumpBrowserSecrets.exe /dec:0xCAFEBABE /i EncPack-XXXXX.bin   Decrypt Pack File To JSON Files

Extrahierte Daten

Die folgenden Tabellen zeigen die genauen Datenpfade, Formate und Verschlüsselungsmodelle, die von jedem unterstützten Browser verwendet werden.

Chrome (App-gebunden)

Edge (App-gebunden)

Brave (App-gebunden)

Opera (DPAPI)

Opera GX (DPAPI)

Vivaldi (DPAPI)

Firefox (NSS)

Danksagungen

• Implementierung der manuellen CSRSS-Prozessregistrierung von NtCreateUserProcess-Post
• Forschung zur Chrome-IElevator-COM-Schnittstelle von snovvcrash's gist
• Forschung zur Edge- & Brave-IElevator-COM-Schnittstelle von Chrome-App-Bound-Encryption-Decryption
• luci4 für technische Beratung
• SQLite-Amalgamation von sqlite.org in <= v1.1.1

Demo

https://github.com/user-attachments/assets/4290d525-7d5f-4a65-8624-2f9fa752e186