DumpChromeSecrets

[!IMPORTANT] Este proyecto ya no recibe mantenimiento. Por favor, usa DumpBrowserSecrets en su lugar, que es compatible con Chrome, Edge, Brave, Firefox, Opera, Opera GX y Vivaldi.

DumpChromeSecrets

Extrae datos de versiones modernas de Chrome, incluyendo tokens de actualización, cookies, credenciales guardadas, datos de autocompletar, historial de navegación y marcadores.

Enlaces Rápidos

Maldev Academy Inicio

Maldev Database

Temario del Curso de Desarrollo de Malware

Temario del Curso de Operaciones Ofensivas de Phishing

Temario del Curso de Internals, Simulación y Detección de Ransomware

Cómo Funciona

Este proyecto consta de dos componentes:

1. Ejecutable (DumpChromeSecrets.exe) - Crea un proceso de Chrome sin interfaz gráfica, inyecta la DLL mediante inyección APC Early Bird y recibe los datos extraídos a través de una tubería con nombre.

2. DLL (DllExtractChromeSecrets.dll) - Se ejecuta dentro del contexto del proceso de Chrome para descifrar la clave de cifrado App-Bound usando la interfaz COM IElevator de Chrome, luego extrae y descifra datos de bases de datos SQLite.

Cifrado App-Bound de Chrome (v127+)

A partir de Chrome 127, Google introdujo el Cifrado App-Bound, que vincula las claves de cifrado de cookies con la identidad de la aplicación Chrome. La clave de cifrado (llamada "app_bound_encrypted_key") se almacena en el archivo "Local State" y puede ser descifrada por el servicio de elevación de Chrome a través de la interfaz COM IElevator.

Este proyecto evade esta protección inyectando código en el proceso de Chrome, lo que le permite llamar a IElevator::DecryptData con el contexto de aplicación adecuado. Otro método fue implementado por luci4 en los módulos Dumping Browser Cookies: Chrome y Dumping Saved Logins: Chrome.

La imagen anterior fue tomada de: Improving the security of Chrome cookies on Windows

Extracción de Datos

Una vez inyectada la DLL, extrae los siguientes datos de Chrome:

Uso

Usage: DumpChromeSecrets.exe [options]

Options:
  /o <file>    Output JSON File (default: ChromeData.json)
  /all         Export All Entries (default: max 16 per category)
  /?           Show This Help Message

Examples:
  DumpChromeSecrets.exe                        Extract 16 Entry To ChromeData.json
  DumpChromeSecrets.exe /all                   Export All Entries
  DumpChromeSecrets.exe /o Output.json /all    Extract All To Output.json

Créditos

• Investigación de la interfaz COM IElevator tomada del gist de snovvcrash
• luci4 por la guía técnica
• Amalgama SQLite de sqlite.org

Demo