DumpBrowserSecrets

DumpBrowserSecrets

Estrae i dati memorizzati dai browser come token di aggiornamento, cookie, credenziali salvate, carte di credito, voci di compilazione automatica, cronologia di navigazione e segnalibri dai browser moderni basati su Chromium e Gecko (Chrome, Microsoft Edge, Firefox, Opera, Opera GX e Vivaldi).

Collegamenti Rapidi

Home di Maldev Academy

Database di Maldev

Programma del Corso di Sviluppo di Malware

Programma del Corso di Operazioni di Phishing Offensivo

Programma del Corso di Internals, Simulazione e Rilevamento di Ransomware

Come Funziona

Questo progetto è una versione migliorata di DumpChromeSecrets, e analogamente è composto da due componenti:

1. Eseguibile (DumpBrowserSecrets.exe)

Crea un processo Chromium headless, inietta la DLL tramite Early Bird APC injection, e riceve le chiavi di decifratura estratte. Queste chiavi sono di tipo App-Bound (estratte da Chrome, Brave e Microsoft Edge) o chiavi DPAPI (usate da Opera, Opera GX e Vivaldi). Una volta recuperate le chiavi necessarie, questo eseguibile analizza i database SQLite e i file JSON del browser su disco e decifra i dati memorizzati, inclusi credenziali, cookie, token e altri dati di navigazione. Inoltre, quando si ha come target browser non basati su Chromium (es. Firefox), DumpBrowserSecrets.exe gestisce tutti i passaggi necessari per l'estrazione e la decifratura dei dati (senza DLL-Injection).

2. DLL (DllExtractChromiumSecrets.dll)

Viene eseguita all'interno dei browser Chromium per decifrare la chiave di cifratura App-Bound utilizzando l'interfaccia COM IElevator. Sfrutta l'interfaccia COM IElevator per decifrare la chiave di cifratura App-Bound e recupera i valori decifrati di app_bound_encrypted_key e encrypted_key dal file Local State del browser target. Questi valori vengono quindi restituiti all'eseguibile, che esegue tutte le operazioni di estrazione.

[!NOTE] A differenza del progetto DumpChromeSecrets, questa implementazione esegue tutta l'estrazione dei dati del browser nell'eseguibile DumpBrowserSecrets.exe, mentre la DLL è limitata al recupero delle chiavi di cifratura dai browser basati su Chromium.

Caratteristiche

Di seguito sono elencate alcune delle caratteristiche più notevoli offerte:

• Offuscamento delle stringhe in fase di compilazione e hashing delle API per eludere l'analisi statica.
• Spoofing di PPID e argomenti tramite NtCreateUserProcess con registrazione manuale di CSRSS.
• Parser personalizzato del formato file SQLite3 (SQLoot), che sostituisce sqlite-amalgamation nella versione > v1.1.1.
• Duplicazione degli handle per bypassare i lock sui file detenuti dai browser in esecuzione.
• Pacchetti di output cifrati per la decifratura offline utilizzando una firma definita dall'utente.

Utilizzo

Usage: DumpBrowserSecrets.exe [options]

Extraction Options:
  /b:<browser> Target Browser: Chrome, Edge, Brave, Opera, Operagx, Vivaldi, Firefox, All
               Can Be Specified Multiple Times
  /enc:<sig>   Encrypt JSON Output With Signature (1-8 Bytes)
  /spoof       Enable Argument and PPID Spoofing When Retrieving ABE Keys
  /e:<count>   Max Extracted Entries Per Category (Default: 16, 'all' For No Limit)

Decryption Options:
  /dec:<sig>   Decrypt Mode With The Same Signature Used When Encrypting(1-8 Bytes)
  /i <file>    Input Encrypted Pack File (Required For Decryption)
  /?           Show This Help Message

Examples:
  DumpBrowserSecrets.exe                                        Extract 16 Entries From The Default Browser
  DumpBrowserSecrets.exe /b:chrome /b:edge /spoof /e:100        Extract 100 Entries From Chrome And Edge With PPID Spoofing
  DumpBrowserSecrets.exe /b:firefox /e:all /enc:SIG213          Extract All Entries From FireFox To Encrypted Pack
  DumpBrowserSecrets.exe /b:all /e:all /enc:0xCAFEBABE          Extract All Entries From All Browsers To Encrypted Pack
  DumpBrowserSecrets.exe /dec:0xCAFEBABE /i EncPack-XXXXX.bin   Decrypt Pack File To JSON Files

Dati Estratti

Le tabelle seguenti mostrano le posizioni esatte dei dati, i formati e i modelli di cifratura utilizzati da ciascun browser supportato.

Chrome (App-Bound)

Edge (App-Bound)

Brave (App-Bound)

Opera (DPAPI)

Opera GX (DPAPI)

Vivaldi (DPAPI)

Firefox (NSS)

Riconoscimenti

• Implementazione della registrazione manuale del processo CSRSS da NtCreateUserProcess-Post
• Ricerca sull'interfaccia COM IElevator di Chrome dal gist di snovvcrash
• Ricerca sull'interfaccia COM IElevator di Edge e Brave da Chrome-App-Bound-Encryption-Decryption
• luci4 per la guida tecnica
• SQLite amalgamation da sqlite.org In <= v1.1.1

Demo

https://github.com/user-attachments/assets/4290d525-7d5f-4a65-8624-2f9fa752e186