rxwx/chloniumClona e importa cookies y contraseñas de Chromium entre navegadores mediante descifrado de claves de estado DPAPI sin conexión, compatible con bases de datos cifradas con AES-256 GCM para operaciones de red team.
Chlonium es una aplicación diseñada para clonar cookies de Chromium.
A partir de Chromium 80 y superiores, las cookies se cifran usando AES-256 GCM, con una clave de estado que se almacena en el archivo Local State. Esta clave de estado está cifrada mediante DPAPI. Esto es un cambio respecto a versiones anteriores, que usaban DPAPI para cifrar cada cookie individualmente en la base de datos de cookies. Esto significa que si tienes la clave de estado, siempre podrás descifrar la base de datos de cookies sin conexión, sin necesidad de acceso continuo a las claves DPAPI.
Esto esencialmente hace que las bases de datos de cookies sean "portátiles", lo que significa que se pueden mover de una máquina a otra, siempre que hayas extraído la clave de estado. Las cookies mismas deben volverse a cifrar cuando se importan, porque las claves de estado diferirán en cada perfil de usuario y máquina. Esto se puede hacer usando el mismo proceso que el descifrado, primero descifrando la clave de estado del navegador "destino" y luego volviendo a cifrar cada elemento con la nueva clave.
El proyecto está escrito en C# y tiene dos componentes separados. El primer componente, chlonium.exe, es el binario recolector. Simplemente descifra la clave de estado y la imprime. Ten en cuenta esta clave y podrás descifrar cookies en el futuro descargando el archivo de base de datos Cookies cada vez que necesites cookies actualizadas. Por defecto, intentará descifrar la clave de estado de Chrome. Si deseas extraer la clave de estado de otro navegador (por ejemplo, Edge), puedes especificar una ruta a la clave.
Por ejemplo:
> Chlonium.exe "c:\users\user\AppData\Local\Microsoft\Edge\User Data\Local State"
[+] Statekey = 3Cms3YxFXVyJRUbulYCnxqY2dO/jubDkYBQBoYIvqfc=
El segundo componente, ChloniumUI.exe, es la herramienta "importadora". Esta se encarga de descifrar una base de datos Cookies dada con una clave de estado proporcionada, volver a cifrar los valores con la clave de estado del usuario actual e importar las cookies en el navegador elegido. Se ejecuta en la máquina donde deseas importar las cookies.
Para usarlo, ejecuta el ejecutable ChloniumUI.exe. Ingresa la clave de estado previamente extraída, elige el archivo Cookies que deseas importar y selecciona el navegador en el que deseas importar las cookies. Luego haz clic en "Import Cookies" y las cookies se importarán.
ChloniumUI actualmente soporta tres navegadores basados en Chromium: Edge, Chrome y Vivaldi. Se pueden añadir navegadores adicionales en Browsers.cs. Esto agrega el beneficio no intencionado de poder importar un archivo de cookies de Edge en Chrome, o viceversa (por ejemplo), aunque probablemente no sea una buena idea dado que el user-agent no coincidirá.
Nota importante: Al importar el archivo de cookies en tu navegador, ¡se borran todas las cookies antiguas! Se copia una copia de seguridad al directorio actual (con la marca de tiempo correspondiente). Si necesitas restaurar las cookies anteriores, simplemente copia el archivo de respaldo sobre el archivo Cookies.
Herramientas como Mimikatz y SharpChromium ya tienen la capacidad de extraer cookies de Chrome 80, ¿por qué otra herramienta?
Esta herramienta está específicamente orientada a facilitar la importación de cookies en otro navegador. Si bien estas herramientas hacen un gran trabajo extrayendo cookies de Chromium (¡y más!), quería tener algo que me permitiera importar fácilmente en otro navegador. Existen complementos de administración de cookies de terceros, pero siempre los he encontrado complicados y propensos a fallos. CloniumUI está diseñado para hacer este proceso más fácil importando las cookies directamente en la base de datos sqlite de tu navegador.
Aunque este proyecto incluye el recolector chlonium.exe, que ayuda a extraer la clave de estado, esto es realmente solo un ejemplo. Otras herramientas como Mimikatz también extraerán la clave de estado, de una manera potencialmente más sigilosa (dependiendo de tu entorno operativo, método de ejecución, etc.). Además, SharpDPAPI te permitirá descifrar el archivo de clave de estado de Chromium si tienes las claves DPAPI de estado, la contraseña actual o la clave de respaldo del dominio, lo que permite extraer cookies de forma remota a través de SMB.
Al realizar Red Teaming, a veces necesito extraer las cookies de un usuario varias veces durante un período sostenido (por ejemplo, diariamente / semanalmente). Usar un ensamblado .NET, una DLL reflectiva u otra técnica de ejecución en memoria para extraer cookies individuales del archivo de cookies directamente en el sistema objetivo es innecesario y expone al operador a un mayor riesgo de detección. En su lugar, puedes simplemente extraer la clave de estado una vez y copiar el archivo de base de datos Cookies cuando necesites cookies frescas, sin requerir ejecución adicional.
Mira aquí una demostración en video.
ChloniumUI también soporta la importación y exportación de contraseñas. Para usar esta función, simplemente proporciona la ruta de la base de datos Login Data en lugar de la base de datos Cookies, junto con la clave de estado, y selecciona el navegador en el que deseas importarlas (para exportar esto no importa). Esto te permite exportar contraseñas en texto plano a un archivo o importarlas a tu navegador. Al igual que con las cookies, puedes importar contraseñas de Chrome a Edge, contraseñas de Edge a Vivaldi, etc.
Chlonium soporta el descifrado de clave de estado sin conexión, donde puedes descifrar la clave de estado del usuario sin conexión si tienes todos los siguientes archivos:
C:\Users\<usuario>\AppData\Local\<navegador>\User Data\Local StateC:\Users\<usuario>\AppData\Roaming\Microsoft\Protect\<SID>\y uno de los siguientes:
LsaRetrievePrivateData de Mimikatz/SharpDPAPI)Ahora simplemente proporciona estos valores bajo la pestaña "Descifrado de clave de estado sin conexión", y Chlonium intentará descifrar la clave de estado cifrada primero descifrando las claves maestras DPAPI (usando la clave de respaldo o la contraseña), y luego usando estas claves para descifrar la clave de estado. Una vez que se descifra la clave de estado, se puede usar en la pestaña "Importar o Exportar Base de Datos" para recuperar cookies/contraseñas.
Nota de uso: Al usar la contraseña del usuario para descifrar la clave maestra DPAPI, Chlonium primero intentará extraer el SID del usuario del archivo BK-<NOMBREDEDOMINIONETBIOS> dentro de la carpeta de la clave maestra DPAPI. Si esto falla (o si el archivo no existe), intentará obtener el SID del nombre de la carpeta de la clave maestra DPAPI (que por defecto llevará el nombre del SID del usuario). Si has renombrado la carpeta o no tienes una copia del archivo BK, no podrás descifrar la clave maestra usando una contraseña.
Esta función hace uso de los excelentes proyectos SharpChrome y SharpDPAPI de @harmj0y. Todo el crédito corresponde a los autores originales de SharpDPAPI.
Al importar una base de datos de Cookies o Login, Chlonium proporciona una opción para elegir un "Importador". Puedes elegir entre Database Importer (el predeterminado) o StateKey Importer. El Importador de Base de Datos predeterminado descifrará cada elemento en la base de datos fuente, lo volverá a cifrar con tu Clave de Estado actual y luego lo importará a la base de datos de tu navegador actual. Esto suele funcionar bien; sin embargo, si una actualización del navegador cambia el esquema de la base de datos, entonces Chlonium puede necesitar una actualización para manejar el nuevo esquema. Para intentar solucionar este problema, se creó el Importador de Clave de Estado. En lugar de volver a cifrar cada elemento en la base de datos (y depender de conocer el esquema de la base de datos), simplemente podemos volver a cifrar (con DPAPI) la Clave de Estado almacenada en el archivo Local State para que coincida con la de la base de datos fuente. En ese punto, podemos simplemente intercambiar el archivo de base de datos de Cookies sin tener que modificar el contenido de la base de datos mediante SQL. Si bien este método debería ser más resistente a los cambios de esquema, tiene el efecto secundario de que no podrás usar el archivo de Cookies anterior, ya que la Clave de Estado ya no será válida. Para evitar problemas con la restauración, el archivo Local State se respalda en el directorio actual junto con la base de datos original de Cookies/Login. Estos se pueden restaurar manualmente si es necesario. Además, como no es necesario volver a cifrar cada elemento de la base de datos, ¡el Importador de Clave de Estado es mucho más rápido!
Resumen: Si tienes problemas con el Database Importer, prueba seleccionando StateKey Importer :)
Configura un SACL en los archivos Local State y Cookies de Chrome (así como en otros archivos sensibles como Login Data e History). Busca procesos sospechosos (por ejemplo, no relacionados con el navegador) que abran estos archivos.
Echa un vistazo a este excelente artículo del blog de @cryps1s sobre la configuración de SACLs para la detección.
Para los proveedores de antivirus que utilizan un controlador de filtro del sistema de archivos, considera bloquear que los procesos no relacionados con el navegador abran estos archivos. Por ejemplo, PowerShell abriendo el archivo Cookies.