DumpBrowserSecrets

DumpBrowserSecrets

Extrait les données stockées dans les navigateurs telles que les jetons d'actualisation, les cookies, les identifiants enregistrés, les cartes de crédit, les saisies automatiques, l'historique de navigation et les marque-pages des navigateurs modernes basés sur Chromium et Gecko (Chrome, Microsoft Edge, Firefox, Opera, Opera GX et Vivaldi).

Liens rapides

Accueil Maldev Academy

Base de données Maldev

Programme du cours de développement de malwares

Programme du cours d'opérations de phishing offensif

Programme du cours d'internes, simulation et détection des ransomwares

Comment ça fonctionne

Ce projet est une version améliorée de DumpChromeSecrets, et se compose de deux composants :

1. Exécutable (DumpBrowserSecrets.exe)

Crée un processus Chromique sans tête, injecte la DLL via l'injection APC Early Bird, et reçoit les clés de déchiffrement extraites. Ces clés sont soit liées à l'application (App-Bound) (extraites de Chrome, Brave et Microsoft Edge), soit des clés DPAPI (utilisées par Opera, Opera GX et Vivaldi). Une fois les clés nécessaires récupérées, cet exécutable analyse les bases de données SQLite et les fichiers JSON du navigateur sur le disque et déchiffre les données stockées, y compris les identifiants, cookies, jetons et autres données de navigation. De plus, lors du ciblage de navigateurs non basés sur Chromium (par ex., Firefox), DumpBrowserSecrets.exe gère toutes les étapes nécessaires à l'extraction et au déchiffrement des données (sans injection de DLL).

2. DLL (DllExtractChromiumSecrets.dll)

S'exécute à l'intérieur des navigateurs Chromium pour déchiffrer la clé de chiffrement App-Bound en utilisant l'interface COM IElevator. Elle exploite l'interface COM IElevator pour déchiffrer la clé de chiffrement App-Bound et récupère les valeurs déchiffrées de app_bound_encrypted_key et encrypted_key du fichier Local State du navigateur ciblé. Ces valeurs sont ensuite renvoyées à l'exécutable, qui effectue toutes les opérations d'extraction.

[!NOTE] Contrairement au projet DumpChromeSecrets, cette implémentation effectue toute l'extraction des données du navigateur dans l'exécutable DumpBrowserSecrets.exe, tandis que la DLL se limite à récupérer les clés de chiffrement des navigateurs basés sur Chromium.

Fonctionnalités

Voici quelques-unes des fonctionnalités les plus notables :

• Obfuscation des chaînes à la compilation et hachage d'API pour échapper à l'analyse statique.
• Spoofing du PPID et des arguments via NtCreateUserProcess avec enregistrement manuel CSRSS.
• Analyseur de format de fichier SQLite3 personnalisé (SQLoot), remplaçant sqlite-amalgamation dans > v1.1.1.
• Duplication de handles pour contourner les verrous de fichiers maintenus par les navigateurs en cours d'exécution.
• Packs de sortie chiffrés pour déchiffrement hors ligne à l'aide d'une signature définie par l'utilisateur.

Utilisation

Usage: DumpBrowserSecrets.exe [options]

Extraction Options:
  /b:<browser> Navigateur cible : Chrome, Edge, Brave, Opera, Operagx, Vivaldi, Firefox, All
               Peut être spécifié plusieurs fois
  /enc:<sig>   Chiffrer la sortie JSON avec la signature (1-8 octets)
  /spoof       Activer le spoofing des arguments et du PPID lors de la récupération des clés ABE
  /e:<count>   Nombre max d'entrées extraites par catégorie (défaut : 16, 'all' pour aucune limite)

Decryption Options:
  /dec:<sig>   Mode déchiffrement avec la même signature que celle utilisée pour le chiffrement (1-8 octets)
  /i <file>    Fichier de pack chiffré en entrée (obligatoire pour le déchiffrement)
  /?           Afficher ce message d'aide

Exemples :
  DumpBrowserSecrets.exe                                        Extraire 16 entrées du navigateur par défaut
  DumpBrowserSecrets.exe /b:chrome /b:edge /spoof /e:100        Extraire 100 entrées de Chrome et Edge avec spoofing PPID
  DumpBrowserSecrets.exe /b:firefox /e:all /enc:SIG213          Extraire toutes les entrées de Firefox vers un pack chiffré
  DumpBrowserSecrets.exe /b:all /e:all /enc:0xCAFEBABE          Extraire toutes les entrées de tous les navigateurs vers un pack chiffré
  DumpBrowserSecrets.exe /dec:0xCAFEBABE /i EncPack-XXXXX.bin   Déchiffrer le fichier pack en fichiers JSON

Données extraites

Les tableaux ci-dessous présentent les emplacements exacts, les formats et les modèles de chiffrement utilisés par chaque navigateur pris en charge.

Chrome (App-Bound)

Edge (App-Bound)

Brave (App-Bound)

Opera (DPAPI)

Opera GX (DPAPI)

Vivaldi (DPAPI)

Firefox (NSS)

Crédits

• Implémentation de l'enregistrement manuel du processus CSRSS issue de NtCreateUserProcess-Post
• Recherche sur l'interface COM IElevator de Chrome issue du gist de snovvcrash
• Recherche sur les interfaces COM IElevator d'Edge et Brave issue de Chrome-App-Bound-Encryption-Decryption
• luci4 pour les conseils techniques
• Amalgamation SQLite issue de sqlite.org dans les versions <= v1.1.1

Démonstration

https://github.com/user-attachments/assets/4290d525-7d5f-4a65-8624-2f9fa752e186