DumpChromeSecrets

[!IMPORTANT] このプロジェクトはメンテナンスされていません。代わりに、Chrome、Edge、Brave、Firefox、Opera、Opera GX、Vivaldi をサポートする DumpBrowserSecrets を使用してください。

DumpChromeSecrets

最新の Chrome バージョンから、リフレッシュトークン、Cookie、保存済み認証情報、自動入力データ、ブラウジング履歴、ブックマークなどのデータを抽出します。

クイックリンク

Maldev Academy ホーム

Maldev データベース

Malware Development コース シラバス

Offensive Phishing Operations コース シラバス

Ransomware Internals、Simulation and Detection コース シラバス

動作原理

このプロジェクトは 2 つのコンポーネントで構成されています：

1. 実行可能ファイル (DumpChromeSecrets.exe) - ヘッドレス Chrome プロセスを作成し、Early Bird APC インジェクション を介して DLL を注入し、名前付きパイプを通じて抽出されたデータを受信します。

2. DLL (DllExtractChromeSecrets.dll) - Chrome のプロセスコンテキスト内で動作し、Chrome の IElevator COM インターフェースを使用して App-Bound 暗号化キーを復号し、SQLite データベースからデータを抽出・復号します。

Chrome の App-Bound 暗号化 (v127+)

Chrome 127 以降、Google は Cookie 暗号化キーを Chrome アプリケーション ID に結び付ける App-Bound 暗号化を導入しました。暗号化キー（"app_bound_encrypted_key" という名前）は "Local State" ファイルに保存され、Chrome の昇格サービスが IElevator COM インターフェースを介して復号できます。

このプロジェクトは、Chrome プロセスにコードを注入し、適切なアプリケーションコンテキストで IElevator::DecryptData を呼び出せるようにすることで、この保護を回避します。別の手法は luci4 によって、Dumping Browser Cookies: Chrome および Dumping Saved Logins: Chrome モジュールで実装されました。

上記の画像は以下から引用: Improving the security of Chrome cookies on Windows

データ抽出

DLL が注入されると、Chrome から以下のデータを抽出します：

使い方

Usage: DumpChromeSecrets.exe [options]

Options:
  /o <file>    Output JSON File (default: ChromeData.json)
  /all         Export All Entries (default: max 16 per category)
  /?           Show This Help Message

Examples:
  DumpChromeSecrets.exe                        Extract 16 Entry To ChromeData.json
  DumpChromeSecrets.exe /all                   Export All Entries
  DumpChromeSecrets.exe /o Output.json /all    Extract All To Output.json

謝辞

• IElevator COM インターフェースの研究: snovvcrash's gist
• luci4 の技術的指導に対して
• SQLite アマルガメーション: sqlite.org から

デモ