jimywork/cromosCromos es una herramienta para descargar extensiones legítimas de Chrome Web Store e inyectar códigos en el fondo de la aplicación.
Cromos es una herramienta para descargar extensiones legítimas de Chrome Web Store e inyectar códigos en el fondo de la aplicación y más cromos crean archivos ejecutables para forzar la instalación mediante PowerShell por ejemplo, y también subir archivos a dropbox para alojar los archivos maliciosos.
Esta es una demostración de la herramienta en funcionamiento; en estos ejemplos estoy descargando una famosa extensión de Google llamada G Suite Training en Google Chrome Web Store e inyectando un módulo keylogger.
$ cd $HOME/
$ git clone https://github.com/fbctf/cromos
$ sudo chmod -R 777 cromos/
$ cd cromos && python setup.py
Usage: python cromos.py --extension {id}
Usage: python cromos.py --extension {id} --load {currency/keylogger}
Usage: python cromos.py --extension {id} --build {bat} --token {dropboxToken}
También puedes inyectar algunos módulos predefinidos en el fondo como keylogger, moneda virtual.
| Módulo | Descripción |
|---|---|
| modules/keylogger | Este módulo captura todas las contraseñas que escribes en un navegador infectado, sea https o no. Todo lo que necesitas es tener un servidor php, por ejemplo, para recibir las solicitudes; los parámetros obtenidos son email, password, cookies y userAgent. |
| modules/currency | Este módulo te permite minar monedas virtuales usando la API de coinhive, solo necesitas tener una cuenta. |
Chrome te permite agregar extensiones usando el Objeto de directiva de grupo (GPO) de Windows; si necesitas forzar la instalación en múltiples máquinas, solo sigue los pasos en la Guía de implementación de Chrome luego modifica la extensión original con algunas modificaciones; puedes publicar tu extensión en Chrome Web Store requiere pagar $5.
Los ejemplos de código se proporcionan con fines educativos. Las defensas adecuadas solo pueden construirse investigando las técnicas de ataque disponibles para actores maliciosos. Usar este código contra sistemas objetivo sin permiso previo es ilegal en la mayoría de las jurisdicciones. Los autores no se hacen responsables de ningún daño derivado del mal uso de esta información o código.
49m12JEEC6HPCHkLMX5QL4SrDQdKwh6eb4Muu8Z9CwA9MwemhzFQ3VcgHwyuR73rC22WCymTUyep7DVrfN3GPt5JBCekPrR