保管庫の向こう側：DumpBrowserSecretsはいかにして最新ブラウザの暗号化を回避するのか

DumpBrowserSecrets

最新のChromium系およびGecko系ブラウザ（Chrome、Microsoft Edge、Firefox、Opera、Opera GX、Vivaldi）から、リフレッシュトークン、Cookie、保存された認証情報、クレジットカード、自動入力エントリ、閲覧履歴、ブックマークなどのブラウザ保存データを抽出します。

仕組み

本プロジェクトは DumpChromeSecrets の改良版であり、同様に2つのコンポーネントで構成されています：

1. 実行ファイル（DumpBrowserSecrets.exe）

ヘッドレスのChromiumプロセスを作成し、 Early Bird APCインジェクション によりDLLを注入し、抽出された復号鍵を受け取ります。これらの鍵は、App-Bound（Chrome、Brave、Microsoft Edgeから抽出）またはDPAPI鍵（Opera、Opera GX、Vivaldiで使用）のいずれかです。必要な鍵を回収すると、この実行ファイルはディスク上のブラウザのSQLiteデータベースおよびJSONファイルを解析し、認証情報、Cookie、トークン、その他の閲覧データを含む保存データを復号します。さらに、非Chromium系ブラウザ（例：Firefox）を対象とする場合、 DumpBrowserSecrets.exe がデータ抽出と復号に必要な全手順を（DLLインジェクションなしで）処理します。

2. DLL（DllExtractChromiumSecrets.dll）

Chromiumブラウザ内で実行され、 IElevator COMインターフェイスを使用してApp-Bound暗号化キーを復号します。 IElevator COMインターフェイスを活用してApp-Bound暗号化キーを復号し、対象ブラウザの Local State ファイルから app_bound_encrypted_key および encrypted_key の復号済み値を取得します。これらの値は実行ファイルに返され、実行ファイルがすべての抽出処理を実行します。