ChromElevator _{^{(Chrome App-Bound Encryption Decryption)}}

🚀 अवलोकन

एक पोस्ट-एक्सप्लॉयटेशन टूल जो Chromium के App-Bound Encryption (ABE) के पूर्ण, इन-मेमोरी बायपास को प्रदर्शित करता है। यह प्रोजेक्ट एक वैध ब्राउज़र प्रोसेस को सस्पेंडेड अवस्था में लॉन्च करने के लिए Direct Syscall-based Reflective Process Hollowing का उपयोग करता है, तथा इसकी पहचान और सुरक्षा संदर्भ को हाईजैक करने के लिए चुपके से एक पेलोड इंजेक्ट करता है। यह Living-off-the-Land (LOTL) तकनीक ब्राउज़र के स्वयं के सुरक्षा मॉडल को कमजोर करती है। फाइललेस दृष्टिकोण उपकरण को पूरी तरह से मेमोरी से संचालित करने की अनुमति देता है, आधुनिक Chromium ब्राउज़रों से संवेदनशील उपयोगकर्ता डेटा (कुकीज़, पासवर्ड, भुगतान) को डिक्रिप्ट और एक्सफिल्ट्रेट करने के लिए यूज़र-लैंड API हुक्स को बायपास करता है।

यदि आपको यह शोध मूल्यवान लगे, तो मैं एक कॉफी की सराहना करूंगा:

🛡️ मुख्य तकनीकी स्तंभ

इस उपकरण की प्रभावशीलता आधुनिक, एवेज़न-केंद्रित तकनीकों के संयोजन पर आधारित है:

• Direct Syscalls for Evasion: मानक WinAPI फ़ंक्शनों पर EDR/AV यूज़र-लैंड हुक्स को सीधे कर्नल फ़ंक्शनों को आमंत्रित करके बायपास करता है। इंजन रनटाइम पर Hell's Gate तकनीक और hash-based function matching के साथ syscall नंबरों को डायनामिक रूप से हल करता है (बाइनरी में कोई प्लेनटेक्स्ट syscall नाम नहीं)।

• Direct Syscall-Based Process Hollowing: एक गुप्त प्रोसेस निर्माण और इंजेक्शन तकनीक। उच्च-ट्रैफिक, संभावित रूप से निगरानी वाले प्रोसेस में इंजेक्ट करने के बजाय, यह एक नया, सस्पेंडेड होस्ट प्रोसेस बनाता है। यह पहचान की संभावनाओं को काफी कम कर देता है, क्योंकि सभी मेमोरी परिवर्तन प्रोसेस के सामान्य निष्पादन शुरू करने से पहले होते हैं।

• Fileless In-Memory Payload: पेलोड DLL लक्ष्य मशीन पर डिस्क को कभी स्पर्श नहीं करता। इसे ChaCha20-encrypted कंपाइल-टाइम बाइट ऐरे के रूप में compile-time derived keys के साथ एम्बेड किया जाता है, इन-मेमोरी डिक्रिप्ट किया जाता है, और रिफ्लेक्टिव रूप से लोड किया जाता है, जिससे इसका फोरेंसिक पदचिह्न न्यूनतम होता है और स्थिर फ़ाइल-आधारित स्कैनर बायपास होते हैं।

• Reflective DLL Injection (RDI): एक गुप्त प्रोसेस इंजेक्शन विधि जो मुख्य पेलोड के लिए LoadLibrary को दरकिनार करती है, जिससे मॉड्यूल लोड की निगरानी करने वाले पहचान तंत्र से बचा जा सकता है। आत्म-निहित बूटस्ट्रैप लोडर PE अनुभागों को मैप करता है, रिलोकेशन करता है, और मेमोरी से इम्पोर्ट हल करता है।

• Target-Context COM Invocation: App-Bound Encryption को पराजित करने के लिए मुख्य आधार। विश्वसनीय ब्राउज़र प्रोसेस के भीतर कोड निष्पादित करके, हम इसकी पहचान और सुरक्षा संदर्भ प्राप्त करते हैं, जिससे हम ABE COM सर्वर के लिए वैध-प्रतीत होने वाले कॉल कर सकते हैं और इसकी पाथ-वैलिडेशन सुरक्षा जाँचों को संतुष्ट कर सकते हैं।

⚙️ विशेषताएँ

मुख्य कार्यक्षमता

• 🔓 कुकीज़, पासवर्ड, भुगतान विधियों, IBAN और Google OAuth टोकन का पूर्ण यूज़र-मोड डिक्रिप्शन।
• 📁 सभी उपयोगकर्ता प्रोफाइलों (Default, Profile 1, आदि) की खोज और प्रोसेसिंग करता है।
• 📝 सभी निकाले गए डेटा को प्रोफाइल द्वारा व्यवस्थित संरचित JSON फ़ाइलों में निर्यात करता है।
• 🔍 सिस्टम जानकारी के साथ व्यापक ब्राउज़र फ़िंगरप्रिंटिंग।

स्टेल्थ और एवेज़न

• 🛡️ Fileless Payload Delivery: एन्क्रिप्टेड एम्बेडेड पेलोड का इन-मेमोरी डिक्रिप्शन और इंजेक्शन।
• 🛡️ Direct Syscall Engine: सभी प्रोसेस ऑपरेशनों के लिए हुक्ड यूज़र-लैंड APIs से बचकर सामान्य एंडपॉइंट सुरक्षाओं को बायपास करता है।
• 🛡️ Hash-Based Syscall Resolution: बाइनरी में कोई प्लेनटेक्स्ट Nt*/Zw* फ़ंक्शन नाम नहीं—कंपाइल-टाइम DJB2 हैश का उपयोग करता है।
• 🛡️ Compile-Time Key Derivation: एन्क्रिप्शन कुंजियाँ बिल्ड मेटाडेटा से प्राप्त होती हैं, प्रत्येक बिल्ड के लिए अद्वितीय।
• 🛡️ PE Header Destruction: इंजेक्शन के बाद PE हेडर को स्यूडो-रैंडम डेटा से नष्ट कर दिया जाता है ताकि मेमोरी स्कैनर से बचा जा सके।
• 🛡️ IPC Mimicry: ब्राउज़र-विशिष्ट नेम्ड पाइप पैटर्न जो वैध ब्राउज़र IPC ट्रैफ़िक के साथ घुलमिल जाते हैं।
• 🤫 Process Hollowing: पेलोड के लिए एक हानिरहित, सस्पेंडेड होस्ट प्रोसेस बनाता है, संभावित रूप से निगरानी वाले प्रोसेस में इंजेक्शन से बचता है।
• 👻 Reflective DLL Injection: संदिग्ध LoadLibrary कॉल के बिना पेलोड को चुपके से लोड करता है।
• 🔒 Non-Intrusive File-Lock Bypass: ब्राउज़र प्रोसेस को समाप्त किए बिना लॉक्ड SQLite डेटाबेस तक पहुँचने के लिए syscall-आधारित हैंडल डुप्लिकेशन का उपयोग करता है। पूर्ण प्रोसेस समाप्ति के लिए वैकल्पिक --kill फ़्लैग उपलब्ध है।
• 💼 No Admin Privileges Required: पूरी तरह से उपयोगकर्ता के सुरक्षा संदर्भ में संचालित होता है।

संगतता और उपयोगिता

• 🌐 Google Chrome, Brave, Edge और Avast Secure Browser पर काम करता है।
• 💻 मूल रूप से x64 और ARM64 आर्किटेक्चर का समर्थन करता है।
• 🚀 Standalone Operation: पेलोड को होस्ट करने के लिए स्वचालित रूप से एक नया ब्राउज़र प्रोसेस बनाता है, जिसके लिए किसी पूर्व-मौजूदा चालू इंस्टेंस की आवश्यकता नहीं होती।
• 📁 निकाले गए डेटा के लिए अनुकूलन योग्य आउटपुट निर्देशिका।

📦 समर्थित और परीक्षण किए गए संस्करण

ब्राउज़र	परीक्षित संस्करण (x64 और ARM64)
Google Chrome	144.0.7559.133
Google Chrome Beta	145.0.7632.18
Brave	1.86.148 (144.1.86.148)
Microsoft Edge	145.0.3800.36
Avast Secure Browser	143.0.33371.147

नोट: Chrome/Brave/Edge 144+ नए IElevator2 COM इंटरफ़ेस का उपयोग करते हैं। यह उपकरण स्वचालित रूप से IElevator2 का उपयोग करता है जब उपलब्ध हो और पुराने संस्करणों के लिए IElevator पर वापस आ जाता है। Avast Secure Browser एक कस्टम IElevatorChrome इंटरफ़ेस का उपयोग करता है जिसमें एक विस्तारित vtable (12 विधियाँ, DecryptData ऑफसेट 104 पर) है।

🔍 फीचर समर्थन मैट्रिक्स

यह मैट्रिक्स प्रत्येक समर्थित ब्राउज़र के लिए निष्कर्षण क्षमताओं को रेखांकित करता है।

फीचर	Google Chrome	Microsoft Edge	Brave	Avast Secure Browser
कुकीज़	✅ ABE	✅ ABE	✅ ABE	✅ ABE
पासवर्ड	✅ ABE	✅ ABE	✅ ABE	✅ ABE
भुगतान विधियाँ	✅ ABE	✅ ABE	✅ ABE	✅ ABE
IBANs	✅ ABE	❌ N/A	✅ ABE	✅ ABE
प्रमाणीकरण टोकन	✅ Google	❌ N/A	❌ N/A	❌ N/A

🔬 तकनीकी कार्यप्रवाह

उपकरण का निष्पादन चुपके और दक्षता पर केंद्रित है, जो Direct Syscall-based Reflective Hollowing प्रक्रिया के चारों ओर बनाया गया है। यह दृष्टिकोण सुनिश्चित करता है कि कुछ ही उच्च-स्तरीय API कॉल किए जाएँ और पेलोड एक वैध, नव निर्मित ब्राउज़र प्रोसेस के भीतर से संचालित हो।

चरण 1: इंजेक्टर (chromelevator.exe)