rxwx/chloniumClone e importe cookies e senhas do Chromium entre navegadores com descriptografia offline da chave de estado DPAPI, suportando bancos de dados criptografados AES-256 GCM para operações de red team.
Chlonium é uma aplicação projetada para clonar Cookies do Chromium.
A partir do Chromium 80 e versões superiores, os cookies são criptografados usando AES-256 GCM, com uma chave de estado que é armazenada no arquivo Local State. Essa chave de estado é criptografada usando DPAPI. Isso é uma mudança em relação às versões mais antigas, que usavam DPAPI para criptografar cada item de cookie no banco de dados de cookies. O que isso significa é que, se você tiver a chave de estado, sempre será capaz de descriptografar o banco de dados de cookies offline, sem precisar de acesso contínuo às chaves DPAPI.
Isso essencialmente torna os bancos de dados de cookies "portáteis", ou seja, podem ser movidos de máquina para máquina, desde que você tenha descarregado a chave de estado. Os próprios cookies precisam ser re-criptografados quando são importados, porque as chaves de estado diferem em cada perfil de usuário e máquina. Isso pode ser feito usando o mesmo processo da descriptografia, primeiro descriptografando a chave de estado do navegador "alvo" e depois re-criptografando cada item com a nova chave.
O projeto é escrito em C# e tem dois componentes separados. O primeiro componente, chlonium.exe é o binário coletor. Ele simplesmente descriptografa a chave de estado e a imprime. Anote esta chave e você poderá descriptografar cookies no futuro baixando o arquivo de banco de dados Cookies sempre que precisar de cookies atualizados. Por padrão, ele tentará descriptografar a chave de estado do Chrome. Se você quiser descarregar a chave de estado para outro navegador (ex.: Edge), pode especificar um caminho para a chave.
Por exemplo:
> Chlonium.exe "c:\users\user\AppData\Local\Microsoft\Edge\User Data\Local State"
[+] Statekey = 3Cms3YxFXVyJRUbulYCnxqY2dO/jubDkYBQBoYIvqfc=
O segundo componente, ChloniumUI.exe é a ferramenta "importadora". Ela cuida de descriptografar um determinado arquivo de banco de dados Cookies com uma chave de estado fornecida, re-criptografar os valores com a chave de estado do usuário atual e importar os cookies para o navegador escolhido. Você executa isso na máquina onde deseja importar os cookies.
Para usá-lo, execute o executável ChloniumUI.exe. Insira a chave de estado extraída anteriormente, escolha o arquivo Cookies que deseja importar e selecione o navegador no qual deseja importar os cookies. Agora clique em "Import Cookies" e os cookies serão importados.
O ChloniumUI atualmente suporta três navegadores baseados em Chromium: Edge, Chrome e Vivaldi. Navegadores adicionais podem ser adicionados em Browsers.cs. Isso adiciona o benefício não intencional de poder importar um arquivo de cookies do Edge para o Chrome, ou vice-versa (por exemplo), embora provavelmente não seja uma boa ideia, já que o user-agent será diferente.
Nota Importante: Ao importar o arquivo de cookies para o seu navegador, todos os cookies antigos são limpos! Uma cópia de segurança é copiada para o diretório atual (com o timestamp relevante). Se precisar restaurar os cookies anteriores, basta copiar o arquivo de backup sobre o arquivo Cookies.
Ferramentas como Mimikatz e SharpChromium já têm a capacidade de descarregar cookies do Chrome 80, porquê outra ferramenta?
Esta ferramenta tem como objetivo específico facilitar a importação de cookies para outro navegador. Embora essas ferramentas façam um ótimo trabalho ao descarregar cookies do Chromium (e muito mais!), eu queria algo que permitisse importar facilmente para outro navegador. Existem plugins de gerenciamento de cookies de terceiros, mas sempre os achei complicados e propensos a falhas. O CloniumUI foi projetado para tornar esse processo mais fácil, importando os cookies diretamente no banco de dados sqlite do seu navegador.
Embora este projeto venha com o coletor chlonium.exe, que auxilia na descarga da chave de estado, isso é realmente apenas um exemplo. Outras ferramentas, como o Mimikatz, também descarregarão a chave de estado para você, de forma potencialmente mais furtiva (dependendo do seu ambiente operacional, método de execução, etc.). Além disso, o SharpDPAPI permitirá que você descriptografe o arquivo de chave de estado do Chromium se tiver as chaves DPAPI do estado, a senha atual ou a chave de backup do domínio - permitindo descarregar cookies remotamente via SMB!
Ao realizar Red Teaming, às vezes preciso descarregar os cookies de um usuário várias vezes durante um período prolongado (ex.: diariamente/semanalmente). Usar um assembly .NET, DLL reflexiva ou outra técnica de execução em memória para extrair cookies individuais do arquivo de cookies diretamente no sistema alvo é desnecessário e expõe o operador a um risco maior de detecção. Em vez disso, você pode simplesmente descarregar a chave de estado uma vez e copiar o arquivo de banco de dados Cookies sempre que precisar de cookies novos, sem exigir execução adicional.
Veja aqui uma demonstração em vídeo.
O ChloniumUI também suporta importação e exportação de senhas. Para usar este recurso, basta fornecer o caminho do banco de dados Login Data em vez do banco Cookies, juntamente com a chave de estado, e selecionar o navegador no qual deseja importá-las (para exportação isso não importa). Isso permite exportar senhas em texto simples para um arquivo ou importá-las para o seu navegador. Assim como com os cookies, você pode importar senhas do Chrome para o Edge, senhas do Edge para o Vivaldi, etc.
O Chlonium suporta descriptografia offline da chave de estado, permitindo que você descriptografe a chave de estado do usuário offline se tiver todos os seguintes arquivos:
C:\Users\<user>\AppData\Local\<browser>\User Data\Local StateC:\Users\<user>\AppData\Roaming\Microsoft\Protect\<SID>\e um dos seguintes:
LsaRetrievePrivateData do Mimikatz/SharpDPAPI)Agora basta fornecer esses valores na aba "Offline statekey decryption", e o Chlonium tentará descriptografar a chave de estado criptografada, primeiro descriptografando as chaves mestras DPAPI (usando a chave de backup ou senha) e depois usando essas chaves para descriptografar a chave de estado. Uma vez que a chave de estado é descriptografada, ela pode ser usada na aba "Import or Export Database" para recuperar cookies/senhas.
Nota de uso: Ao usar a senha do usuário para descriptografar a chave mestre DPAPI, o Chlonium primeiro tentará extrair o SID do usuário do arquivo BK-<NETBIOSDOMAINNAME> dentro da pasta da chave mestre DPAPI. Se falhar (ou se o arquivo não existir), tentará obter o SID do nome da pasta da chave mestre DPAPI (que por padrão terá o nome do SID do usuário). Se você renomeou a pasta ou não possui uma cópia do arquivo BK, não será possível descriptografar a chave mestre usando uma senha.
Este recurso faz uso dos excelentes projetos SharpChrome e SharpDPAPI por @harmj0y. Todo o crédito vai para os autores originais do SharpDPAPI.
Ao importar um banco de dados de Cookies ou Login, o Chlonium oferece uma opção para escolher um "Importador". Você pode escolher entre Database Importer (o padrão) ou StateKey Importer. O Database Importer padrão descriptografa cada item no banco de dados de origem, re-criptografa com sua Chave de Estado atual e depois importa para o banco de dados do seu navegador atual. Isso geralmente funciona bem; no entanto, se uma atualização do navegador causar uma alteração no esquema do banco de dados, o Chlonium pode precisar de atualização para lidar com o novo esquema. Para tentar contornar esse problema, o StateKey Importer foi criado. Em vez de re-criptografar cada item no banco de dados (e depender do conhecimento do esquema do banco), podemos simplesmente re-criptografar (com DPAPI) a Chave de Estado armazenada no arquivo Local State para corresponder à do banco de dados de origem. Nesse ponto, podemos apenas trocar o arquivo do banco de dados de Cookies sem ter que mexer no conteúdo do banco via SQL. Embora este método deva ser mais resiliente a mudanças de esquema, ele tem o efeito colateral de que você não poderá mais usar o arquivo de Cookies antigo - pois a Chave de Estado não será mais válida. Para evitar problemas com restauração, o arquivo Local State é copiado de backup no diretório atual junto com o banco de dados original de Cookies/Login. Eles podem ser restaurados manualmente, se necessário. Além disso, como não precisamos re-criptografar cada item do banco de dados, o StateKey Importer é muito mais rápido!
TL;DR: Se você estiver tendo problemas com o Database Importer, tente selecionar o StateKey Importer :)
Configure uma SACL nos arquivos Local State e Cookies do Chrome (bem como em outros arquivos sensíveis, como Login Data e History). Procure por processos suspeitos (ex.: não relacionados ao navegador) abrindo qualquer um desses arquivos.
Dê uma olhada neste excelente artigo de blog de @cryps1s sobre como configurar SACLs para detecção.
Para fornecedores de AV que usam um driver de filtro do sistema de arquivos, considere bloquear processos não relacionados ao navegador de abrir esses arquivos. Por exemplo, o PowerShell abrindo o arquivo Cookies.