rxwx/chloniumChromium-Cookies und -Passwörter über Browser hinweg klonen und importieren mit offline DPAPI-Zustandsschlüsselentschlüsselung, Unterstützung für AES-256 GCM-verschlüsselte Datenbanken für Red-Team-Operationen.
Chlonium ist eine Anwendung zum Klonen von Chromium-Cookies.
Ab Chromium 80 werden Cookies mit AES-256 GCM verschlüsselt, wobei ein Zustandsschlüssel verwendet wird, der in der Local State-Datei gespeichert ist. Dieser Zustandsschlüssel wird mit DPAPI verschlüsselt. Dies ist eine Änderung gegenüber älteren Versionen, die DPAPI verwendeten, um jedes Cookie-Element in der Cookie-Datenbank zu verschlüsseln. Das bedeutet, dass Sie mit dem Zustandsschlüssel die Cookie-Datenbank jederzeit offline entschlüsseln können, ohne ständigen Zugriff auf DPAPI-Schlüssel zu benötigen.
Dies macht Cookie-Datenbanken im Wesentlichen „portabel“, d.h. sie können von Maschine zu Maschine verschoben werden, sofern Sie den Zustandsschlüssel ausgelesen haben. Die Cookies selbst müssen beim Importieren erneut verschlüsselt werden, da sich die Zustandsschlüssel auf jedem Benutzerprofil und jeder Maschine unterscheiden. Dies kann mit dem gleichen Prozess wie die Entschlüsselung erfolgen, indem zuerst der Zustandsschlüssel aus dem „Ziel“-Browser entschlüsselt und dann jedes Element mit dem neuen Schlüssel erneut verschlüsselt wird.
Das Projekt ist in C# geschrieben und besteht aus zwei Komponenten. Die erste Komponente, chlonium.exe, ist die Sammel-Binärdatei. Sie entschlüsselt einfach den Zustandsschlüssel und gibt ihn aus. Merken Sie sich diesen Schlüssel, und Sie können Cookies in Zukunft entschlüsseln, indem Sie die Cookies-Datenbankdatei herunterladen, wann immer Sie aktualisierte Cookies benötigen. Standardmäßig wird versucht, den Chrome-Zustandsschlüssel zu entschlüsseln. Wenn Sie den Zustandsschlüssel für einen anderen Browser (z. B. Edge) auslesen möchten, können Sie einen Pfad zum Schlüssel angeben.
For example:
> Chlonium.exe "c:\users\user\AppData\Local\Microsoft\Edge\User Data\Local State"
[+] Statekey = 3Cms3YxFXVyJRUbulYCnxqY2dO/jubDkYBQBoYIvqfc=
Die zweite Komponente, ChloniumUI.exe, ist das „Importer“-Tool. Es kümmert sich darum, eine angegebene Cookies-Datenbankdatei mit einem angegebenen Zustandsschlüssel zu entschlüsseln, die Werte mit dem aktuellen Zustandsschlüssel des Benutzers erneut zu verschlüsseln und die Cookies in Ihren ausgewählten Browser zu importieren. Sie führen dies auf dem Rechner aus, in den Sie die Cookies importieren möchten.
Um es zu verwenden, führen Sie die ausführbare Datei ChloniumUI.exe aus. Geben Sie den zuvor extrahierten Zustandsschlüssel ein, wählen Sie die Cookies-Datei, die Sie importieren möchten, und wählen Sie den Browser aus, in den die Cookies importiert werden sollen. Klicken Sie nun auf "Import Cookies" und die Cookies werden importiert.
ChloniumUI unterstützt derzeit drei Chromium-basierte Browser: Edge, Chrome und Vivaldi. Weitere Browser können in Browsers.cs hinzugefügt werden. Dies hat den unbeabsichtigten Vorteil, dass eine Edge-Cookie-Datei in Chrome importiert werden kann (oder umgekehrt), auch wenn dies aufgrund des nicht übereinstimmenden User-Agents wahrscheinlich keine gute Idee ist.
Wichtiger Hinweis: Beim Importieren der Cookie-Datei in Ihren Browser werden alle alten Cookies gelöscht! Eine Sicherungskopie wird in das aktuelle Verzeichnis kopiert (mit entsprechendem Zeitstempel). Wenn Sie die vorherigen Cookies wiederherstellen müssen, kopieren Sie einfach die Sicherungsdatei über die Cookies-Datei.
Tools wie Mimikatz und SharpChromium haben bereits die Fähigkeit, Chrome 80-Cookies auszulesen – warum also ein weiteres Tool?
Dieses Tool zielt speziell darauf ab, das Importieren von Cookies in einen anderen Browser zu erleichtern. Während diese Tools hervorragend darin sind, Chromium-Cookies auszulesen (und mehr!), wollte ich etwas, mit dem ich einfach in einen anderen Browser importieren kann. Es gibt Cookie-Manager-Plugins von Drittanbietern, aber ich fand sie immer fummelig und anfällig für Fehler. CloniumUI wurde entwickelt, um diesen Prozess zu vereinfachen, indem die Cookies direkt in die SQLite-Datenbank Ihres Browsers importiert werden.
Obwohl dieses Projekt mit dem chlonium.exe-Collector ausgestattet ist, der beim Auslesen des Zustandsschlüssels hilft, ist dies eigentlich nur ein Beispiel. Andere Tools wie Mimikatz werden den Zustandsschlüssel ebenfalls für Sie auslesen, möglicherweise auf eine unauffälligere Weise (abhängig von Ihrer Betriebsumgebung, Ausführungsmethode usw.). Darüber hinaus ermöglicht SharpDPAPI die Entschlüsselung der Chromium-Zustandsschlüsseldatei, wenn Sie DPAPI-Zustandsschlüssel, das aktuelle Passwort oder einen Domänen-Backup-Schlüssel haben – so können Sie Cookies sogar remote über SMB auslesen!
Bei Red-Teaming-Aktivitäten muss ich manchmal die Cookies eines Benutzers über einen längeren Zeitraum mehrmals auslesen (z.B. täglich/wöchentlich). Die Verwendung einer .NET-Assembly, einer Reflective DLL oder einer anderen In-Memory-Ausführungstechnik, um einzelne Cookies direkt auf dem Zielsystem aus der Cookie-Datei zu extrahieren, ist unnötig und setzt den Operator einem erhöhten Erkennungsrisiko aus. Stattdessen können Sie einfach einmal den Zustandsschlüssel auslesen und die Cookies-Datenbankdatei kopieren, wann immer Sie frische Cookies benötigen, ohne eine zusätzliche Ausführung zu erfordern.
Eine Videodemo finden Sie hier.
ChloniumUI unterstützt auch den Import und Export von Passwörtern. Um diese Funktion zu nutzen, geben Sie einfach den Pfad zur Login Data-Datenbank anstelle der Cookies-DB an, zusammen mit dem Zustandsschlüssel, und wählen Sie den Browser aus, in den Sie sie importieren möchten (für den Export spielt dies keine Rolle). So können Sie entweder Passwörter im Klartext in eine Datei exportieren oder in Ihren Browser importieren. Wie bei Cookies können Sie Chrome-Passwörter in Edge, Edge-Passwörter in Vivaldi usw. importieren.
Chlonium unterstützt die Offline-Entschlüsselung von Zustandsschlüsseln, bei der Sie den Zustandsschlüssel des Benutzers offline entschlüsseln können, wenn Sie alle der folgenden Dateien haben:
C:\Users\<user>\AppData\Local\<browser>\User Data\Local StateC:\Users\<user>\AppData\Roaming\Microsoft\Protect\<SID>\und eines der folgenden:
LsaRetrievePrivateData API-Methode)Geben Sie diese Werte nun einfach unter dem Tab „Offline-Zustandsschlüssel-Entschlüsselung“ ein, und Chlonium wird versuchen, den verschlüsselten Zustandsschlüssel zu entschlüsseln, indem es zuerst die DPAPI-Masterkeys entschlüsselt (mit dem Backup-Schlüssel oder Passwort) und dann diese Schlüssel verwendet, um den Zustandsschlüssel zu entschlüsseln. Sobald der Zustandsschlüssel entschlüsselt ist, kann dieser im Tab „Datenbank importieren oder exportieren“ verwendet werden, um Cookies/Passwörter abzurufen.
Anwendungshinweis: Bei Verwendung des Benutzerpassworts zur Entschlüsselung des DPAPI-Masterkeys wird Chlonium zunächst versuchen, die SID des Benutzers aus der BK-<NETBIOSDOMAINNAME>-Datei im DPAPI-Masterkey-Ordner zu extrahieren. Wenn dies fehlschlägt (oder die Datei nicht existiert), wird versucht, die SID aus dem Namen des DPAPI-Masterkey-Ordners zu ermitteln (der standardmäßig nach der SID des Benutzers benannt ist). Wenn Sie den Ordner umbenannt haben oder keine Kopie der BK-Datei besitzen, können Sie den Masterkey nicht mit einem Passwort entschlüsseln.
Diese Funktion nutzt die hervorragenden Projekte SharpChrome und SharpDPAPI von @harmj0y. Alle Anerkennung gebührt den ursprünglichen Autoren von SharpDPAPI.
Beim Importieren einer Cookie- oder Login-Datenbank bietet Chlonium die Möglichkeit, einen „Importer“ auszuwählen. Sie können zwischen Database Importer (Standard) oder StateKey Importer wählen. Der standardmäßige Database Importer entschlüsselt jedes Element in der Quelldatenbank, verschlüsselt es mit Ihrem aktuellen Zustandsschlüssel erneut und importiert es dann in die Datenbank Ihres aktuellen Browsers. Dies funktioniert normalerweise gut; falls jedoch ein Browser-Update das Datenbankschema ändert, muss Chlonium möglicherweise aktualisiert werden, um das neue Schema zu handhaben. Um dieses Problem zu umgehen, wurde der StateKey Importer entwickelt. Anstatt jedes Element in der Datenbank erneut zu verschlüsseln (und auf die Kenntnis des DB-Schemas angewiesen zu sein), können wir einfach den in der Local State-Datei gespeicherten Zustandsschlüssel (mit DPAPI) neu verschlüsseln, sodass er mit dem der Quelldatenbank übereinstimmt. An diesem Punkt können wir die Cookie-DB-Datei einfach austauschen, ohne uns über SQL mit dem Datenbankinhalt befassen zu müssen. Obwohl diese Methode widerstandsfähiger gegenüber Schemaänderungen sein sollte, hat sie den Nebeneffekt, dass die alte Cookie-Datei nicht mehr verwendet werden kann – da der Zustandsschlüssel nicht mehr gültig ist. Um Probleme bei der Wiederherstellung zu vermeiden, wird die Local State-Datei zusammen mit der ursprünglichen Cookie-/Login-Datenbank im aktuellen Verzeichnis gesichert. Diese können bei Bedarf manuell wiederhergestellt werden. Da wir außerdem jedes Datenbankelement nicht erneut verschlüsseln müssen, ist der StateKey Importer viel schneller!
TL;DR: Wenn Sie Probleme mit dem Database Importer haben, versuchen Sie stattdessen den StateKey Importer :)
Setzen Sie eine SACL auf die Chrome-Dateien Local State und Cookies (sowie auf andere sensible Dateien wie Login Data und History). Achten Sie auf verdächtige (z.B. nicht browserbezogene) Prozesse, die diese Dateien öffnen.
Werfen Sie einen Blick auf diesen großartigen Blogbeitrag von @cryps1s über die Einrichtung von SACLs zur Erkennung.
Für AV-Anbieter, die einen Dateisystemfiltertreiber verwenden, sollten Sie in Betracht ziehen, nicht browserbezogene Prozesse am Öffnen dieser Dateien zu hindern. Z.B. PowerShell, das die Cookies-Datei öffnet.