DumpChromeSecrets

[!IMPORTANT] Этот проект больше не поддерживается. Вместо него используйте DumpBrowserSecrets, который поддерживает Chrome, Edge, Brave, Firefox, Opera, Opera GX и Vivaldi.

DumpChromeSecrets

Извлечение данных из современных версий Chrome, включая refresh-токены, куки, сохранённые учётные данные, данные автозаполнения, историю просмотров и закладки.

Быстрые ссылки

Главная Maldev Academy

База данных Maldev

Программа курса по разработке вредоносного ПО

Программа курса по атакующему фишингу

Программа курса по внутреннему устройству, симуляции и обнаружению программ-вымогателей

Как это работает

Проект состоит из двух компонентов:

1. Исполняемый файл (DumpChromeSecrets.exe) — создаёт фоновый процесс Chrome, внедряет DLL через Early Bird APC и получает извлечённые данные через именованный канал.

2. DLL (DllExtractChromeSecrets.dll) — выполняется в контексте процесса Chrome, расшифровывает ключ шифрования App-Bound с помощью COM-интерфейса IElevator Chrome, затем извлекает и расшифровывает данные из баз SQLite.

App-Bound шифрование в Chrome (v127+)

Начиная с Chrome 127, Google ввёл App-Bound шифрование, которое привязывает ключи шифрования куки к идентичности приложения Chrome. Ключ шифрования (с именем "app_bound_encrypted_key") хранится в файле "Local State" и может быть расшифрован службой повышения привилегий Chrome через COM-интерфейс IElevator.

Этот проект обходит данную защиту путём внедрения кода в процесс Chrome, что позволяет ему вызывать IElevator::DecryptData с правильным контекстом приложения. Другой метод был реализован luci4 в модулях Сбор куки браузера: Chrome и Сбор сохранённых логинов: Chrome.

Изображение взято из: Improving the security of Chrome cookies on Windows

Извлечение данных

После внедрения DLL извлекаются следующие данные из Chrome:

Использование

Usage: DumpChromeSecrets.exe [options]

Options:
  /o <file>    Output JSON File (default: ChromeData.json)
  /all         Export All Entries (default: max 16 per category)
  /?           Show This Help Message

Examples:
  DumpChromeSecrets.exe                        Extract 16 Entry To ChromeData.json
  DumpChromeSecrets.exe /all                   Export All Entries
  DumpChromeSecrets.exe /o Output.json /all    Extract All To Output.json

Благодарности

• Исследование COM-интерфейса IElevator из gist от snovvcrash
• luci4 за техническое руководство
• Объединённый SQLite из sqlite.org

Демонстрация