ChromElevator _{^{(Chrome App-Bound Encryption Decryption)}}

🚀 Panoramica

Uno strumento post-exploitation che dimostra un bypass completo e in-memory della crittografia App-Bound (ABE) di Chromium. Questo progetto utilizza il Process Hollowing riflessivo basato su syscall dirette per avviare un processo di browser legittimo in stato sospeso, iniettando furtivamente un payload per dirottarne l'identità e il contesto di sicurezza. Questa tecnica Living-off-the-Land (LOTL) sovverte il modello di sicurezza del browser stesso. L'approccio senza file consente allo strumento di operare interamente dalla memoria, aggirando gli hook API user-land per decrittare ed esfiltrare dati sensibili dell'utente (cookie, password, pagamenti) dai browser Chromium moderni.

Se trovi utile questa ricerca, apprezzo un caffè:

🛡️ Pilastri Tecnici Fondamentali

L'efficacia di questo strumento affonda le radici in una combinazione di tecniche moderne incentrate sull'evasione:

• Syscall diretti per l'evasione: aggira gli hook EDR/AV in user-land sulle funzioni WinAPI standard invocando direttamente le funzioni del kernel. Il motore risolve dinamicamente i numeri di syscall a runtime usando la tecnica Hell's Gate con corrispondenza delle funzioni basata su hash (nessun nome di syscall in chiaro nel binario).

• Process Hollowing basato su syscall dirette: una tecnica furtiva di creazione e iniezione di processi. Invece di iniettare in un processo ad alto traffico e potenzialmente monitorato, crea un nuovo processo host sospeso. Questo riduce significativamente le probabilità di rilevamento, poiché tutte le manipolazioni della memoria avvengono prima che il processo inizi la normale esecuzione.

• Payload fileless in memoria: la DLL del payload non tocca mai il disco sulla macchina target. È incorporata come array di byte crittografato ChaCha20 in fase di compilazione con chiavi derivate in fase di compilazione, decrittato in memoria e caricato in modalità riflessiva, minimizzando l'impronta forense e aggirando gli scanner statici basati su file.

• Iniezione riflessiva di DLL (RDI): un metodo furtivo di iniezione in processi che aggira LoadLibrary per il payload principale, eludendo così i meccanismi di rilevamento che monitorano i caricamenti dei moduli. Il loader bootstrap autonomo mappa le sezioni PE, esegue le rilocazioni e risolve le importazioni dalla memoria.

• Chiamata COM nel contesto del target: il perno per sconfiggere la crittografia App-Bound. Eseguendo codice all'interno del processo di browser attendibile, ne ereditiamo l'identità e il contesto di sicurezza, permettendoci di effettuare chiamate dall'apparenza legittima al server COM ABE e soddisfare i suoi controlli di sicurezza di convalida del percorso.

⚙️ Caratteristiche

Funzionalità principali

• 🔓 Decrittazione completa in modalità utente di cookie, password, metodi di pagamento, IBAN e token OAuth di Google.
• 📁 Rileva ed elabora tutti i profili utente (Default, Profile 1, ecc.).
• 📝 Esporta tutti i dati estratti in file JSON strutturati, organizzati per profilo.
• 🔍 Fingerprinting completo del browser con informazioni di sistema.

Furtività ed Evasione

• 🛡️ Consegna payload fileless: decrittazione in memoria e iniezione di un payload incorporato crittografato.
• 🛡️ Motore a syscall dirette: aggira le difese comuni degli endpoint evitando API user-land hookate per tutte le operazioni di processo.
• 🛡️ Risoluzione syscall basata su hash: nessun nome di funzione Nt*/Zw* in chiaro nel binario: utilizza hash DJB2 in fase di compilazione.
• 🛡️ Derivazione delle chiavi in fase di compilazione: chiavi di crittografia derivate dai metadati di build, uniche per ogni build.
• 🛡️ Distruzione dell'header PE: gli header PE post-iniezione vengono obliterati con dati pseudo-casuali per eludere gli scanner di memoria.
• 🛡️ Mimetizzazione IPC: pattern di named pipe specifici del browser che si confondono con il traffico IPC legittimo del browser.
• 🤫 Process Hollowing: crea un processo host benigno e sospeso per il payload, evitando l'iniezione in processi potenzialmente monitorati.
• 👻 Iniezione riflessiva di DLL: carica furtivamente il payload senza sospette chiamate LoadLibrary.
• 🔒 Bypass non intrusivo dei file lock: utilizza la duplicazione degli handle basata su syscall per accedere ai database SQLite bloccati senza terminare i processi del browser. Flag opzionale --kill disponibile per la terminazione completa del processo.
• 💼 Nessun privilegio amministrativo richiesto: opera interamente nel contesto di sicurezza dell'utente.

Compatibilità e Usabilità

• 🌐 Funziona su Google Chrome, Brave, Edge e Avast Secure Browser.
• 💻 Supporta nativamente le architetture x64 e ARM64.
• 🚀 Operazione standalone: crea automaticamente un nuovo processo del browser per ospitare il payload, senza richiedere istanze già in esecuzione.
• 📁 Directory di output personalizzabile per i dati estratti.

📦 Versioni Supportate e Testate

Browser	Versione testata (x64 & ARM64)
Google Chrome	144.0.7559.133
Google Chrome Beta	145.0.7632.18
Brave	1.86.148 (144.1.86.148)
Microsoft Edge	145.0.3800.36
Avast Secure Browser	143.0.33371.147

Nota: Chrome/Brave/Edge 144+ utilizzano la nuova interfaccia COM IElevator2. Questo strumento usa automaticamente IElevator2 quando disponibile e ripiega su IElevator per le versioni precedenti. Avast Secure Browser usa un'interfaccia personalizzata IElevatorChrome con una vtable estesa (12 metodi, DecryptData all'offset 104).

🔍 Matrice di Supporto delle Funzionalità

Questa matrice illustra le capacità di estrazione per ciascun browser supportato.

Funzionalità	Google Chrome	Microsoft Edge	Brave	Avast Secure Browser
Cookie	✅ ABE	✅ ABE	✅ ABE	✅ ABE
Password	✅ ABE	✅ ABE	✅ ABE	✅ ABE
Metodi di pagamento	✅ ABE	✅ ABE	✅ ABE	✅ ABE
IBAN	✅ ABE	❌ N/A	✅ ABE	✅ ABE
Token di autenticazione	✅ Google	❌ N/A	❌ N/A	❌ N/A

🔬 Flusso di Lavoro Tecnico

L'esecuzione dello strumento è focalizzata su furtività ed efficienza, costruita attorno a un processo di Reflective Hollowing basato su syscall dirette. Questo approccio garantisce che vengano effettuate poche chiamate API di alto livello e che il payload operi dall'interno di un processo browser legittimo e di nuova creazione.

Fase 1: L'iniettore (chromelevator.exe)