DumpBrowserSecrets

DumpBrowserSecrets

Извлекает данные, хранящиеся в браузере: токены обновления (refresh tokens), куки, сохранённые учётные данные, кредитные карты, данные автозаполнения, историю просмотров и закладки из современных браузеров на основе Chromium и Gecko (Chrome, Microsoft Edge, Firefox, Opera, Opera GX и Vivaldi).

Быстрые ссылки

Главная Maldev Academy

База данных Maldev

Учебная программа курса по разработке вредоносного ПО

Учебная программа курса по оффенсивным фишинговым операциям

Учебная программа курса по внутреннему устройству, моделированию и обнаружению программ-вымогателей

Как это работает

Этот проект является улучшенной версией DumpChromeSecrets и состоит из двух компонентов:

1. Исполняемый файл (DumpBrowserSecrets.exe)

Создаёт фоновый процесс Chromium, внедряет DLL с помощью Early Bird APC injection и получает извлечённые ключи дешифрования. Эти ключи могут быть либо привязанными к приложению (App-Bound) (извлекаются из Chrome, Brave и Microsoft Edge), либо ключами DPAPI (используются Opera, Opera GX и Vivaldi). После восстановления необходимых ключей исполняемый файл обрабатывает SQLite-базы данных и JSON-файлы браузера на диске и дешифрует хранящиеся данные, включая учётные данные, куки, токены и другие данные просмотра. Кроме того, при использовании браузеров, не основанных на Chromium (например, Firefox), DumpBrowserSecrets.exe выполняет все необходимые шаги для извлечения и дешифрования данных (без внедрения DLL).

2. DLL (DllExtractChromiumSecrets.dll)

Выполняется внутри браузеров на Chromium для дешифрования ключа шифрования App-Bound с помощью COM-интерфейса IElevator. Он использует COM-интерфейс IElevator для дешифрования ключа шифрования App-Bound и извлекает дешифрованные значения app_bound_encrypted_key и encrypted_key из файла Local State целевого браузера. Затем эти значения возвращаются исполняемому файлу, который выполняет все операции извлечения.

[!NOTE] В отличие от проекта DumpChromeSecrets, данная реализация выполняет всё извлечение данных браузера в исполняемом файле DumpBrowserSecrets.exe, в то время как DLL ограничена получением ключей шифрования из браузеров на основе Chromium.

Возможности

Ниже перечислены некоторые из наиболее примечательных функций:

• Обфускация строк на этапе компиляции и хеширование API для обхода статического анализа.
• Подмена PPID и аргументов через NtCreateUserProcess с ручной регистрацией CSRSS.
• Пользовательский парсер формата файлов SQLite3 (SQLoot), заменяющий sqlite-amalgamation в версиях > v1.1.1.
• Дублирование дескрипторов для обхода блокировок файлов запущенными браузерами.
• Зашифрованные выходные пакеты для офлайн-дешифрования с использованием пользовательской сигнатуры.

Использование

Usage: DumpBrowserSecrets.exe [options]

Параметры извлечения:
  /b:<браузер> Целевой браузер: Chrome, Edge, Brave, Opera, Operagx, Vivaldi, Firefox, All
               Можно указывать несколько раз
  /enc:<сигн>  Шифровать JSON-вывод с сигнатурой (1-8 байт)
  /spoof       Включить подмену аргументов и PPID при получении ключей ABE
  /e:<число>   Максимальное количество извлекаемых записей на категорию (по умолчанию: 16, 'all' - без лимита)

Параметры дешифрования:
  /dec:<сигн>  Режим дешифрования с той же сигнатурой, которая использовалась при шифровании (1-8 байт)
  /i <файл>    Входной зашифрованный пакетный файл (обязателен для дешифрования)
  /?           Показать это сообщение справки

Примеры:
  DumpBrowserSecrets.exe                                        Извлечь 16 записей из браузера по умолчанию
  DumpBrowserSecrets.exe /b:chrome /b:edge /spoof /e:100        Извлечь 100 записей из Chrome и Edge с подменой PPID
  DumpBrowserSecrets.exe /b:firefox /e:all /enc:SIG213          Извлечь все записи из Firefox в зашифрованный пакет
  DumpBrowserSecrets.exe /b:all /e:all /enc:0xCAFEBABE          Извлечь все записи из всех браузеров в зашифрованный пакет
  DumpBrowserSecrets.exe /dec:0xCAFEBABE /i EncPack-XXXXX.bin   Дешифровать пакетный файл в JSON-файлы

Извлечённые данные

Таблицы ниже показывают точные местоположения данных, форматы и модели шифрования, используемые каждым поддерживаемым браузером.

Chrome (App-Bound)

Edge (App-Bound)

Brave (App-Bound)

Opera (DPAPI)

Opera GX (DPAPI)

Vivaldi (DPAPI)

Firefox (NSS)

Благодарности

• Реализация ручной регистрации процесса CSRSS из NtCreateUserProcess-Post
• Исследование COM-интерфейса Chrome IElevator из gist от snovvcrash
• Исследование COM-интерфейса IElevator для Edge и Brave из Chrome-App-Bound-Encryption-Decryption
• luci4 за техническое руководство
• SQLite amalgamation из sqlite.org (в версиях <= v1.1.1)

Демонстрация

https://github.com/user-attachments/assets/4290d525-7d5f-4a65-8624-2f9fa752e186