DumpBrowserSecrets

DumpBrowserSecrets

最新のChromiumベースおよびGeckoベースのブラウザ（Chrome、Microsoft Edge、Firefox、Opera、Opera GX、Vivaldi）から、リフレッシュトークン、Cookie、保存された認証情報、クレジットカード、オートフィルエントリ、閲覧履歴、ブックマークなどのブラウザ保存データを抽出します。

クイックリンク

Maldev Academy ホーム

Maldev Database

マルウェア開発コースシラバス

Offensive Phishing Operations コースシラバス

ランサムウェア内部構造、シミュレーション、検出コースシラバス

仕組み

このプロジェクトは DumpChromeSecrets の改良版であり、同様に2つのコンポーネントで構成されています。

1. 実行ファイル (DumpBrowserSecrets.exe)

ヘッドレス Chromium プロセスを作成し、Early Bird APC injection を介して DLL を注入し、抽出された復号鍵を受け取ります。これらの鍵は、App-Bound（Chrome、Brave、Microsoft Edge から抽出）または DPAPI 鍵（Opera、Opera GX、Vivaldi で使用）のいずれかです。必要な鍵が回復されると、この実行ファイルはブラウザの SQLite データベースとディスク上の JSON ファイルを解析し、保存されたデータ（認証情報、Cookie、トークン、その他のブラウジングデータ）を復号します。 さらに、Chromium ベースではないブラウザ（例：Firefox）を対象とする場合、DumpBrowserSecrets.exe はデータ抽出と復号に必要なすべての手順を（DLL インジェクションなしで）処理します。

2. DLL (DllExtractChromiumSecrets.dll)

Chromium ブラウザ内で実行され、IElevator COM インターフェースを使用して App-Bound 暗号化鍵を復号します。IElevator COM インターフェースを利用して App-Bound 暗号化鍵を復号し、対象ブラウザの Local State ファイルから app_bound_encrypted_key と encrypted_key の復号された値を取得します。これらの値は実行ファイルに返され、実行ファイルがすべての抽出操作を実行します。

[!NOTE] DumpChromeSecrets プロジェクトとは異なり、この実装ではすべてのブラウザデータ抽出を DumpBrowserSecrets.exe 実行ファイルで実行し、DLL は Chromium ベースブラウザからの暗号化鍵の取得に限定されています。

機能

以下に、最も注目すべき機能の一部を示します。

• コンパイル時文字列難読化と API ハッシュによる静的解析回避。
• NtCreateUserProcess と手動 CSRSS 登録による PPID および引数偽装。
• カスタム SQLite3 ファイル形式パーサー (SQLoot)。v1.1.1 以降で sqlite-amalgamation を置き換え。
• 実行中のブラウザによるファイルロックをバイパスするためのハンドル複製。
• ユーザー定義シグネチャを使用した、オフライン復号のための暗号化出力パック。

使用方法

Usage: DumpBrowserSecrets.exe [options]

抽出オプション:
  /b:<browser> 対象ブラウザ: Chrome, Edge, Brave, Opera, Operagx, Vivaldi, Firefox, All
               複数回指定可能
  /enc:<sig>    JSON 出力をシグネチャ（1～8バイト）で暗号化
  /spoof       ABE キー取得時に引数および PPID 偽装を有効化
  /e:<count>   カテゴリごとの最大抽出エントリ数（デフォルト: 16、'all' で無制限）

復号オプション:
  /dec:<sig>   暗号化時に使用したものと同じシグネチャで復号モード（1～8バイト）
  /i <file>    入力暗号化パックファイル（復号時に必須）
  /?           このヘルプメッセージを表示

例:
  DumpBrowserSecrets.exe                                        デフォルトブラウザから16エントリを抽出
  DumpBrowserSecrets.exe /b:chrome /b:edge /spoof /e:100        Chrome と Edge から PPID 偽装ありで100エントリを抽出
  DumpBrowserSecrets.exe /b:firefox /e:all /enc:SIG213          FireFox から全エントリを暗号化パックに抽出
  DumpBrowserSecrets.exe /b:all /e:all /enc:0xCAFEBABE          全ブラウザから全エントリを暗号化パックに抽出
  DumpBrowserSecrets.exe /dec:0xCAFEBABE /i EncPack-XXXXX.bin   パックファイルを復号して JSON ファイルに出力

抽出データ

以下の表は、サポートされている各ブラウザが使用する正確なデータの場所、形式、暗号化モデルを示しています。

Chrome (App-Bound)

Edge (App-Bound)

Brave (App-Bound)

Opera (DPAPI)

Opera GX (DPAPI)

Vivaldi (DPAPI)

Firefox (NSS)

クレジット

• 手動 CSRSS プロセス登録の実装: NtCreateUserProcess-Post
• Chrome IElevator COM インターフェースの研究: snovvcrash の gist
• Edge および Brave IElevator COM インターフェースの研究: Chrome-App-Bound-Encryption-Decryption
• luci4 の技術的指導
• SQLite amalgamation: sqlite.org (v1.1.1 以前)

デモ

https://github.com/user-attachments/assets/4290d525-7d5f-4a65-8624-2f9fa752e186