DumpBrowserSecrets

DumpBrowserSecrets

आधुनिक Chromium-आधारित और Gecko-आधारित ब्राउज़रों (Chrome, Microsoft Edge, Firefox, Opera, Opera GX, और Vivaldi) से रिफ़्रेश टोकन, कुकीज़, सहेजे गए क्रेडेंशियल, क्रेडिट कार्ड, ऑटोफ़िल एंट्री, ब्राउज़िंग हिस्ट्री और बुकमार्क जैसे ब्राउज़र-संग्रहीत डेटा को निकालता है।

त्वरित लिंक

Maldev Academy Home

Maldev Database

Malware Development Course Syllabus

Offensive Phishing Operations Course Syllabus

Ransomware Internals, Simulation and Detection Course Syllabus

यह कैसे काम करता है

यह प्रोजेक्ट DumpChromeSecrets का एक बेहतर संस्करण है, और इसमें समान रूप से दो घटक शामिल हैं:

1. निष्पादन योग्य (DumpBrowserSecrets.exe)

एक हेडलेस Chromium प्रक्रिया बनाता है, Early Bird APC इंजेक्शन के माध्यम से DLL को इंजेक्ट करता है, और निकाले गए डिक्रिप्शन कुंजियाँ प्राप्त करता है। ये कुंजियाँ या तो App-Bound (Chrome, Brave, और Microsoft Edge से निकाली गई) या DPAPI कुंजियाँ (Opera, Opera GX, और Vivaldi द्वारा उपयोग की जाने वाली) होती हैं। आवश्यक कुंजियाँ प्राप्त होने के बाद, यह निष्पादन योग्य ब्राउज़र की SQLite डेटाबेस और डिस्क पर JSON फ़ाइलों को पार्स करता है और क्रेडेंशियल, कुकीज़, टोकन और अन्य ब्राउज़िंग डेटा सहित संग्रहीत डेटा को डिक्रिप्ट करता है। इसके अतिरिक्त, जब गैर-Chromium-आधारित ब्राउज़रों (जैसे, Firefox) को लक्षित किया जाता है, तो DumpBrowserSecrets.exe डेटा निष्कर्षण और डिक्रिप्शन के लिए सभी आवश्यक चरणों को संभालता है (DLL-इंजेक्शन के बिना)।

2. DLL (DllExtractChromiumSecrets.dll)

App-Bound एन्क्रिप्शन कुंजी को डिक्रिप्ट करने के लिए IElevator COM इंटरफ़ेस का उपयोग करके Chromium ब्राउज़रों के अंदर चलता है। यह IElevator COM इंटरफ़ेस का लाभ उठाकर App-Bound एन्क्रिप्शन कुंजी को डिक्रिप्ट करता है और लक्षित ब्राउज़र की Local State फ़ाइल से app_bound_encrypted_key और encrypted_key के डिक्रिप्टेड मान प्राप्त करता है। ये मान फिर निष्पादन योग्य को वापस भेज दिए जाते हैं, जो सभी निष्कर्षण कार्य करता है।

[!NOTE] DumpChromeSecrets प्रोजेक्ट के विपरीत, यह कार्यान्वयन सभी ब्राउज़र डेटा निष्कर्षण DumpBrowserSecrets.exe निष्पादन योग्य में करता है, जबकि DLL Chromium-आधारित ब्राउज़रों से एन्क्रिप्शन कुंजियाँ प्राप्त करने तक सीमित है।

विशेषताएँ

नीचे कुछ सबसे उल्लेखनीय विशेषताएँ दी गई हैं:

• स्थैतिक विश्लेषण से बचने के लिए कंपाइल-टाइम स्ट्रिंग अस्पष्टीकरण और API हैशिंग।
• मैनुअल CSRSS पंजीकरण के साथ NtCreateUserProcess के माध्यम से PPID और तर्क स्पूफिंग।
• v1.1.1 से अधिक में sqlite-amalgamation को बदलने वाला कस्टम SQLite3 फ़ाइल प्रारूप पार्सर (SQLoot)।
• चल रहे ब्राउज़रों द्वारा रखे गए फ़ाइल लॉक को बायपास करने के लिए हैंडल डुप्लिकेशन।
• उपयोगकर्ता-परिभाषित हस्ताक्षर का उपयोग करके ऑफ़लाइन डिक्रिप्शन के लिए एन्क्रिप्टेड आउटपुट पैक।

उपयोग

Usage: DumpBrowserSecrets.exe [options]

Extraction Options:
  /b:<browser> Target Browser: Chrome, Edge, Brave, Opera, Operagx, Vivaldi, Firefox, All
               Can Be Specified Multiple Times
  /enc:<sig>   Encrypt JSON Output With Signature (1-8 Bytes)
  /spoof       Enable Argument and PPID Spoofing When Retrieving ABE Keys
  /e:<count>   Max Extracted Entries Per Category (Default: 16, 'all' For No Limit)

Decryption Options:
  /dec:<sig>   Decrypt Mode With The Same Signature Used When Encrypting(1-8 Bytes)
  /i <file>    Input Encrypted Pack File (Required For Decryption)
  /?           Show This Help Message

Examples:
  DumpBrowserSecrets.exe                                        Extract 16 Entries From The Default Browser
  DumpBrowserSecrets.exe /b:chrome /b:edge /spoof /e:100        Extract 100 Entries From Chrome And Edge With PPID Spoofing
  DumpBrowserSecrets.exe /b:firefox /e:all /enc:SIG213          Extract All Entries From FireFox To Encrypted Pack
  DumpBrowserSecrets.exe /b:all /e:all /enc:0xCAFEBABE          Extract All Entries From All Browsers To Encrypted Pack
  DumpBrowserSecrets.exe /dec:0xCAFEBABE /i EncPack-XXXXX.bin   Decrypt Pack File To JSON Files

निकाला गया डेटा

नीचे दी गई तालिकाएँ प्रत्येक समर्थित ब्राउज़र द्वारा उपयोग किए जाने वाले सटीक डेटा स्थानों, प्रारूपों और एन्क्रिप्शन मॉडलों को दर्शाती हैं।

Chrome (App-Bound)

Edge (App-Bound)

Brave (App-Bound)

Opera (DPAPI)

Opera GX (DPAPI)

Vivaldi (DPAPI)

Firefox (NSS)

क्रेडिट

• NtCreateUserProcess-Post से मैनुअल CSRSS प्रक्रिया पंजीकरण कार्यान्वयन
• snovvcrash के gist से Chrome IElevator COM इंटरफ़ेस अनुसंधान
• Chrome-App-Bound-Encryption-Decryption से Edge और Brave IElevator COM इंटरफ़ेस अनुसंधान
• तकनीकी मार्गदर्शन के लिए luci4
• <= v1.1.1 में sqlite.org से SQLite amalgamation

डेमो

https://github.com/user-attachments/assets/4290d525-7d5f-4a65-8624-2f9fa752e186