ChromElevator _{^{(Chrome App-Bound Encryption Decryption)}}

🚀 Descripción general

Una herramienta de post-explotación que demuestra una evasión completa en memoria del App-Bound Encryption (ABE) de Chromium. Este proyecto utiliza Process Hollowing reflectivo basado en syscalls directos para lanzar un proceso legítimo del navegador en estado suspendido, inyectando sigilosamente un payload para secuestrar su identidad y contexto de seguridad. Esta técnica Living-off-the-Land (LOTL) subvierte el propio modelo de seguridad del navegador. El enfoque sin archivos permite que la herramienta opere completamente desde la memoria, evadiendo los ganchos de API de modo usuario para descifrar y exfiltrar datos sensibles del usuario (cookies, contraseñas, pagos) de los navegadores Chromium modernos.

Si encuentras valiosa esta investigación, te agradecería un café:

🛡️ Pilares técnicos principales

La eficacia de esta herramienta se basa en una combinación de técnicas modernas centradas en la evasión:

• Syscalls directos para evasión: Evita los ganchos de EDR/AV en modo usuario sobre las funciones estándar de WinAPI invocando directamente las funciones del kernel. El motor resuelve dinámicamente los números de syscall en tiempo de ejecución mediante la técnica Hell's Gate con coincidencia de funciones basada en hash (sin nombres de syscall en texto plano en el binario).

• Process Hollowing basado en syscalls directos: Una técnica sigilosa de creación e inyección de procesos. En lugar de inyectar en un proceso de alto tráfico y potencialmente monitorizado, crea un nuevo proceso anfitrión suspendido. Esto reduce significativamente las probabilidades de detección, ya que todas las manipulaciones de memoria ocurren antes de que el proceso comience su ejecución normal.

• Payload sin archivos en memoria: La DLL del payload nunca toca el disco en la máquina objetivo. Está incrustada como una matriz de bytes cifrada con ChaCha20 en tiempo de compilación, con claves derivadas en tiempo de compilación, se descifra en memoria y se carga de forma reflectiva, minimizando su huella forense y evadiendo los escáneres estáticos basados en archivos.

• Inyección reflectiva de DLL (RDI): Un método sigiloso de inyección de procesos que evita LoadLibrary para el payload principal, evadiendo así los mecanismos de detección que monitorizan las cargas de módulos. El cargador bootstrap autónomo mapea las secciones del PE, realiza reubicaciones y resuelve las importaciones desde la memoria.

• Invocación COM en el contexto del objetivo: La pieza clave para derrotar a App-Bound Encryption. Al ejecutar código dentro del proceso de confianza del navegador, heredamos su identidad y contexto de seguridad, lo que nos permite realizar llamadas de apariencia legítima al servidor COM de ABE y satisfacer sus comprobaciones de seguridad de validación de rutas.

⚙️ Características

Funcionalidad principal

• 🔓 Descifrado completo en modo usuario de cookies, contraseñas, métodos de pago, IBAN y tokens OAuth de Google.
• 📁 Descubre y procesa todos los perfiles de usuario (Default, Profile 1, etc.).
• 📝 Exporta todos los datos extraídos a archivos JSON estructurados, organizados por perfil.
• 🔍 Fingerprinting exhaustivo del navegador con información del sistema.

Sigilo y evasión

• 🛡️ Entrega de payload sin archivos: Descifrado e inyección en memoria de un payload embebido cifrado.
• 🛡️ Motor de syscalls directos: Evita las defensas comunes de endpoint al eludir las APIs de modo usuario con ganchos para todas las operaciones de proceso.
• 🛡️ Resolución de syscalls basada en hash: Sin nombres de funciones Nt*/Zw* en texto plano en el binario; utiliza hashes DJB2 en tiempo de compilación.
• 🛡️ Derivación de claves en tiempo de compilación: Claves de cifrado derivadas de metadatos de compilación, únicas por compilación.
• 🛡️ Destrucción de cabeceras PE: Las cabeceras PE posteriores a la inyección se obliteran con datos pseudoaleatorios para evadir los escáneres de memoria.
• 🛡️ Imitación de IPC: Patrones de named pipes específicos del navegador que se mezclan con el tráfico IPC legítimo del navegador.
• 🤫 Process Hollowing: Crea un proceso anfitrión benigno y suspendido para el payload, evitando la inyección en procesos potencialmente monitorizados.
• 👻 Inyección reflectiva de DLL: Carga sigilosamente el payload sin llamadas sospechosas a LoadLibrary.
• 🔒 Omisión no intrusiva de bloqueos de archivos: Utiliza duplicación de handles basada en syscalls para acceder a bases de datos SQLite bloqueadas sin terminar los procesos del navegador. Disponible el flag opcional --kill para la terminación completa del proceso.
• 💼 No se requieren privilegios de administrador: Opera completamente dentro del contexto de seguridad del usuario.

Compatibilidad y usabilidad

• 🌐 Funciona en Google Chrome, Brave, Edge y Avast Secure Browser.
• 💻 Compatible de forma nativa con las arquitecturas x64 y ARM64.
• 🚀 Operación autónoma: Crea automáticamente un nuevo proceso de navegador para alojar el payload, sin requerir instancias en ejecución preexistentes.
• 📁 Directorio de salida personalizable para los datos extraídos.

📦 Versiones compatibles y probadas

Navegador	Versión probada (x64 y ARM64)
Google Chrome	144.0.7559.133
Google Chrome Beta	145.0.7632.18
Brave	1.86.148 (144.1.86.148)
Microsoft Edge	145.0.3800.36
Avast Secure Browser	143.0.33371.147

Nota: Chrome/Brave/Edge 144+ utilizan la nueva interfaz COM IElevator2. Esta herramienta usa automáticamente IElevator2 cuando está disponible y recurre a IElevator para versiones anteriores. Avast Secure Browser utiliza una interfaz personalizada IElevatorChrome con una vtable extendida (12 métodos, DecryptData en el offset 104).

🔍 Matriz de soporte de funcionalidades

Esta matriz describe las capacidades de extracción para cada navegador compatible.

Funcionalidad	Google Chrome	Microsoft Edge	Brave	Avast Secure Browser
Cookies	✅ ABE	✅ ABE	✅ ABE	✅ ABE
Contraseñas	✅ ABE	✅ ABE	✅ ABE	✅ ABE
Métodos de pago	✅ ABE	✅ ABE	✅ ABE	✅ ABE
IBAN	✅ ABE	❌ N/A	✅ ABE	✅ ABE
Tokens de autenticación	✅ Google	❌ N/A	❌ N/A	❌ N/A

🔬 Flujo de trabajo técnico