DumpBrowserSecrets

DumpBrowserSecrets

Extrae datos almacenados en navegadores como tokens de actualización, cookies, credenciales guardadas, tarjetas de crédito, entradas de autocompletar, historial de navegación y marcadores de navegadores modernos basados en Chromium y Gecko (Chrome, Microsoft Edge, Firefox, Opera, Opera GX y Vivaldi).

Enlaces rápidos

Maldev Academy Home

Maldev Database

Malware Development Course Syllabus

Offensive Phishing Operations Course Syllabus

Ransomware Internals, Simulation and Detection Course Syllabus

Cómo funciona

Este proyecto es una versión mejorada de DumpChromeSecrets, y consta de dos componentes:

1. Ejecutable (DumpBrowserSecrets.exe)

Crea un proceso Chromium sin interfaz gráfica, inyecta la DLL mediante Early Bird APC injection y recibe las claves de descifrado extraídas. Estas claves son App-Bound (extraídas de Chrome, Brave y Microsoft Edge) o claves DPAPI (usadas por Opera, Opera GX y Vivaldi). Una vez recuperadas las claves necesarias, este ejecutable analiza las bases de datos SQLite y archivos JSON del navegador en disco y descifra los datos almacenados, incluyendo credenciales, cookies, tokens y otros datos de navegación. Adicionalmente, cuando se apunta a navegadores no basados en Chromium (por ejemplo, Firefox), DumpBrowserSecrets.exe maneja todos los pasos necesarios para la extracción y descifrado de datos (sin inyección de DLL).

2. DLL (DllExtractChromiumSecrets.dll)

Se ejecuta dentro de los navegadores Chromium para descifrar la clave de cifrado App-Bound mediante la interfaz COM IElevator. Aprovecha la interfaz COM IElevator para descifrar la clave de cifrado App-Bound y recupera los valores descifrados de app_bound_encrypted_key y encrypted_key del archivo Local State del navegador objetivo. Estos valores se devuelven al ejecutable, que realiza todas las operaciones de extracción.

[!NOTE] A diferencia del proyecto DumpChromeSecrets, esta implementación realiza toda la extracción de datos del navegador en el ejecutable DumpBrowserSecrets.exe, mientras que la DLL se limita a recuperar las claves de cifrado de los navegadores basados en Chromium.

Características

A continuación se presentan algunas de las características más notables:

• Ofuscación de cadenas en tiempo de compilación y hashing de API para evadir análisis estático.
• Suplantación de PPID y argumentos mediante NtCreateUserProcess con registro manual en CSRSS.
• Analizador de formato de archivo SQLite3 personalizado (SQLoot), reemplazando sqlite-amalgamation en > v1.1.1.
• Duplicación de identificadores para evitar bloqueos de archivos por parte de navegadores en ejecución.
• Paquetes de salida cifrados para descifrado offline usando una firma definida por el usuario.

Uso

Usage: DumpBrowserSecrets.exe [options]

Extraction Options:
  /b:<browser> Target Browser: Chrome, Edge, Brave, Opera, Operagx, Vivaldi, Firefox, All
               Can Be Specified Multiple Times
  /enc:<sig>   Encrypt JSON Output With Signature (1-8 Bytes)
  /spoof       Enable Argument and PPID Spoofing When Retrieving ABE Keys
  /e:<count>   Max Extracted Entries Per Category (Default: 16, 'all' For No Limit)

Decryption Options:
  /dec:<sig>   Decrypt Mode With The Same Signature Used When Encrypting(1-8 Bytes)
  /i <file>    Input Encrypted Pack File (Required For Decryption)
  /?           Show This Help Message

Examples:
  DumpBrowserSecrets.exe                                        Extract 16 Entries From The Default Browser
  DumpBrowserSecrets.exe /b:chrome /b:edge /spoof /e:100        Extract 100 Entries From Chrome And Edge With PPID Spoofing
  DumpBrowserSecrets.exe /b:firefox /e:all /enc:SIG213          Extract All Entries From FireFox To Encrypted Pack
  DumpBrowserSecrets.exe /b:all /e:all /enc:0xCAFEBABE          Extract All Entries From All Browsers To Encrypted Pack
  DumpBrowserSecrets.exe /dec:0xCAFEBABE /i EncPack-XXXXX.bin   Decrypt Pack File To JSON Files

Datos extraídos

Las tablas a continuación muestran las ubicaciones exactas, formatos y modelos de cifrado utilizados por cada navegador compatible.

Chrome (App-Bound)

Edge (App-Bound)

Brave (App-Bound)

Opera (DPAPI)

Opera GX (DPAPI)

Vivaldi (DPAPI)

Firefox (NSS)

Créditos

• Implementación del registro manual de procesos CSRSS de NtCreateUserProcess-Post
• Investigación sobre la interfaz COM Chrome IElevator de snovvcrash's gist
• Investigación sobre la interfaz COM IElevator de Edge y Brave de Chrome-App-Bound-Encryption-Decryption
• luci4 por la orientación técnica
• SQLite amalgamation de sqlite.org En ≤ v1.1.1

Demostración

https://github.com/user-attachments/assets/4290d525-7d5f-4a65-8624-2f9fa752e186