ChromElevator _{^{(Chrome App-Bound Encryption Decryption)}}

🚀 Visão Geral

Uma ferramenta de pós-exploração que demonstra uma bypass completa e em memória do App-Bound Encryption (ABE) do Chromium. Este projeto utiliza Reflective Process Hollowing baseado em Syscalls Diretos para iniciar um processo legítimo do navegador em estado suspenso, injetando furtivamente um payload para sequestrar sua identidade e contexto de segurança. Esta técnica Living-off-the-Land (LOTL) subverte o próprio modelo de segurança do navegador. A abordagem sem arquivos permite que a ferramenta opere inteiramente a partir da memória, contornando hooks de API em user-land para descriptografar e exfiltrar dados confidenciais do usuário (cookies, senhas, pagamentos) de navegadores Chromium modernos.

Se você considera esta pesquisa valiosa, eu apreciaria um café:

🛡️ Pilares Técnicos Centrais

A eficácia desta ferramenta está enraizada em uma combinação de técnicas modernas focadas em evasão:

• Syscalls Diretos para Evasão: Contorna os hooks em user-land de EDR/AV em funções padrão da WinAPI invocando diretamente as funções do kernel. O mecanismo resolve dinamicamente os números de syscall em tempo de execução usando a técnica Hell's Gate com correspondência de funções baseada em hash (sem nomes de syscall em texto puro no binário).

• Process Hollowing Baseado em Syscalls Diretos: Uma técnica furtiva de criação e injeção de processos. Em vez de injetar em um processo de alto tráfego e potencialmente monitorado, ela cria um novo processo host suspenso. Isso reduz significativamente as chances de detecção, pois todas as manipulações de memória ocorrem antes de o processo iniciar a execução normal.

• Payload Sem Arquivos na Memória: A DLL do payload nunca toca o disco na máquina alvo. Ela é incorporada como um array de bytes criptografado com ChaCha20 em tempo de compilação, com chaves derivadas em tempo de compilação, descriptografada em memória e carregada reflexivamente, minimizando sua pegada forense e contornando scanners estáticos baseados em arquivos.

• Injeção Reflexiva de DLL (RDI): Um método furtivo de injeção de processos que contorna LoadLibrary para o payload principal, evitando assim mecanismos de detecção que monitoram cargas de módulos. O loader de bootstrap autossuficiente mapeia seções PE, executa realocações e resolve importações a partir da memória.

• Invocação COM no Contexto do Alvo: A peça-chave para derrotar o App-Bound Encryption. Ao executar código dentro do processo confiável do navegador, herdamos sua identidade e contexto de segurança, permitindo fazer chamadas de aparência legítima ao servidor COM do ABE e satisfazer suas verificações de segurança de validação de caminho.

⚙️ Recursos

Funcionalidade Principal

• 🔓 Descriptografia completa em modo de usuário de cookies, senhas, métodos de pagamento, IBANs e tokens OAuth do Google.
• 📁 Descobre e processa todos os perfis de usuário (Default, Profile 1, etc.).
• 📝 Exporta todos os dados extraídos em arquivos JSON estruturados, organizados por perfil.
• 🔍 Fingerprinting abrangente do navegador com informações do sistema.

Furtividade e Evasão

• 🛡️ Entrega de Payload Sem Arquivos: Descriptografia em memória e injeção de um payload incorporado criptografado.
• 🛡️ Mecanismo de Syscalls Diretos: Contorna defesas comuns de endpoint evitando APIs de user-land com hook para todas as operações de processo.
• 🛡️ Resolução de Syscalls Baseada em Hash: Sem nomes de funções Nt*/Zw* em texto puro no binário—usa hashes DJB2 em tempo de compilação.
• 🛡️ Derivação de Chaves em Tempo de Compilação: Chaves de criptografia derivadas de metadados de build, únicas por build.
• 🛡️ Destruição do Cabeçalho PE: Após a injeção, os cabeçalhos PE são obliterados com dados pseudoaleatórios para evadir scanners de memória.
• 🛡️ Mimetismo de IPC: Padrões de named pipe específicos do navegador que se misturam ao tráfego IPC legítimo do navegador.
• 🤫 Process Hollowing: Cria um processo host benigno e suspenso para o payload, evitando injeção em processos potencialmente monitorados.
• 👻 Injeção Reflexiva de DLL: Carrega furtivamente o payload sem chamadas suspeitas a LoadLibrary.
• 🔒 Bypass Não Intrusivo de Bloqueio de Arquivo: Usa duplicação de handles baseada em syscalls para acessar bancos de dados SQLite bloqueados sem encerrar processos do navegador. A flag opcional --kill está disponível para encerramento completo do processo.
• 💼 Nenhum Privilégio de Administrador Necessário: Opera inteiramente dentro do contexto de segurança do usuário.

Compatibilidade e Usabilidade

• 🌐 Funciona em Google Chrome, Brave, Edge e Avast Secure Browser.
• 💻 Suporta nativamente as arquiteturas x64 e ARM64.
• 🚀 Operação Autônoma: Cria automaticamente um novo processo do navegador para hospedar o payload, sem exigir instâncias já em execução.
• 📁 Diretório de saída personalizável para os dados extraídos.

📦 Versões Suportadas e Testadas

Browser	Tested Version (x64 & ARM64)
Google Chrome	144.0.7559.133
Google Chrome Beta	145.0.7632.18
Brave	1.86.148 (144.1.86.148)
Microsoft Edge	145.0.3800.36
Avast Secure Browser	143.0.33371.147

Nota: Chrome/Brave/Edge 144+ usam a nova interface COM IElevator2. Esta ferramenta usa automaticamente IElevator2 quando disponível e recorre ao IElevator para versões mais antigas. O Avast Secure Browser usa uma interface personalizada IElevatorChrome com uma vtable estendida (12 métodos, DecryptData no offset 104).

🔍 Matriz de Suporte a Recursos

Esta matriz descreve as capacidades de extração para cada navegador suportado.

Recurso	Google Chrome	Microsoft Edge	Brave	Avast Secure Browser
Cookies	✅ ABE	✅ ABE	✅ ABE	✅ ABE
Senhas	✅ ABE	✅ ABE	✅ ABE	✅ ABE
Métodos de Pagamento	✅ ABE	✅ ABE	✅ ABE	✅ ABE
IBANs	✅ ABE	❌ N/A	✅ ABE	✅ ABE
Tokens de Autenticação	✅ Google	❌ N/A	❌ N/A	❌ N/A

🔬 Fluxo de Trabalho Técnico

A execução da ferramenta é focada em furtividade e eficiência, construída em torno de um processo de Reflective Hollowing baseado em Syscalls Diretos. Essa abordagem garante que poucas chamadas de API de alto nível sejam feitas e que o payload opere a partir de um processo legítimo de navegador recém-criado.

Estágio 1: O Injetor (chromelevator.exe)