DumpBrowserSecrets

DumpBrowserSecrets

Extrai dados armazenados em navegadores, como tokens de atualização, cookies, credenciais salvas, cartões de crédito, entradas de preenchimento automático, histórico de navegação e favoritos de navegadores modernos baseados em Chromium e Gecko (Chrome, Microsoft Edge, Firefox, Opera, Opera GX e Vivaldi).

Links Rápidos

Página Inicial da Maldev Academy

Banco de Dados Maldev

Programa do Curso de Desenvolvimento de Malware

Programa do Curso de Operações Ofensivas de Phishing

Programa do Curso de Internos, Simulação e Detecção de Ransomware

Como Funciona

Este projeto é uma versão melhorada do DumpChromeSecrets e consiste igualmente em dois componentes:

1. Executável (DumpBrowserSecrets.exe)

Cria um processo Chromium headless, injeta a DLL via injeção APC Early Bird e recebe as chaves de criptografia extraídas. Essas chaves podem ser App-Bound (extraídas do Chrome, Brave e Microsoft Edge) ou chaves DPAPI (usadas pelo Opera, Opera GX e Vivaldi). Uma vez que as chaves necessárias foram recuperadas, este executável analisa os bancos de dados SQLite e arquivos JSON do navegador no disco e descriptografa os dados armazenados, incluindo credenciais, cookies, tokens e outros dados de navegação. Além disso, ao alvejar navegadores que não são baseados em Chromium (ex.: Firefox), o DumpBrowserSecrets.exe lida com todas as etapas necessárias para extração e descriptografia de dados (sem injeção de DLL).

2. DLL (DllExtractChromiumSecrets.dll)

Executa dentro de navegadores Chromium para descriptografar a chave de criptografia App-Bound usando a interface COM IElevator. Ela aproveita a interface COM IElevator para descriptografar a chave de criptografia App-Bound e recupera os valores descriptografados de app_bound_encrypted_key e encrypted_key do arquivo Local State do navegador alvo. Esses valores são então retornados ao executável, que realiza todas as operações de extração.

[!NOTE] Diferentemente do projeto DumpChromeSecrets, esta implementação realiza toda a extração de dados do navegador no executável DumpBrowserSecrets.exe, enquanto a DLL se limita a recuperar chaves de criptografia de navegadores baseados em Chromium.

Recursos

Abaixo estão alguns dos recursos mais notáveis fornecidos:

• Ofuscação de strings em tempo de compilação e hashing de API para evadir análise estática.
• Spoofing de PPID e argumentos via NtCreateUserProcess com registro CSRSS manual.
• Analisador personalizado de formato de arquivo SQLite3 (SQLoot), substituindo o sqlite-amalgamation em > v1.1.1.
• Duplicação de handles para contornar bloqueios de arquivo mantidos por navegadores em execução.
• Pacotes de saída criptografados para descriptografia offline usando uma assinatura definida pelo usuário.

Uso

Usage: DumpBrowserSecrets.exe [options]

Extraction Options:
  /b:<browser> Target Browser: Chrome, Edge, Brave, Opera, Operagx, Vivaldi, Firefox, All
               Can Be Specified Multiple Times
  /enc:<sig>   Encrypt JSON Output With Signature (1-8 Bytes)
  /spoof       Enable Argument and PPID Spoofing When Retrieving ABE Keys
  /e:<count>   Max Extracted Entries Per Category (Default: 16, 'all' For No Limit)

Decryption Options:
  /dec:<sig>   Decrypt Mode With The Same Signature Used When Encrypting(1-8 Bytes)
  /i <file>    Input Encrypted Pack File (Required For Decryption)
  /?           Show This Help Message

Examples:
  DumpBrowserSecrets.exe                                        Extract 16 Entries From The Default Browser
  DumpBrowserSecrets.exe /b:chrome /b:edge /spoof /e:100        Extract 100 Entries From Chrome And Edge With PPID Spoofing
  DumpBrowserSecrets.exe /b:firefox /e:all /enc:SIG213          Extract All Entries From FireFox To Encrypted Pack
  DumpBrowserSecrets.exe /b:all /e:all /enc:0xCAFEBABE          Extract All Entries From All Browsers To Encrypted Pack
  DumpBrowserSecrets.exe /dec:0xCAFEBABE /i EncPack-XXXXX.bin   Decrypt Pack File To JSON Files

Dados Extraídos

As tabelas abaixo exibem as localizações exatas dos dados, formatos e modelos de criptografia usados por cada navegador suportado.

Chrome (App-Bound)

Edge (App-Bound)

Brave (App-Bound)

Opera (DPAPI)

Opera GX (DPAPI)

Vivaldi (DPAPI)

Firefox (NSS)

Créditos

• Implementação do registro manual do processo CSRSS de NtCreateUserProcess-Post
• Pesquisa da interface COM IElevator do Chrome de snovvcrash's gist
• Pesquisa da interface COM IElevator do Edge e Brave de Chrome-App-Bound-Encryption-Decryption
• luci4 pela orientação técnica
• Amalgamação SQLite do sqlite.org Em versões <= v1.1.1

Demonstração

https://github.com/user-attachments/assets/4290d525-7d5f-4a65-8624-2f9fa752e186