Selon Darknet.org.uk, DumpBrowserSecrets est présenté comme un outil capable d’extraire des données sensibles stockées par les principaux navigateurs, en contournant des mécanismes de protection.
DumpBrowserSecrets : extraction de secrets stockés dans les navigateurs
Présentation
DumpBrowserSecrets est un outil de post-exploitation développé par Maldev Academy permettant d’extraire des identifiants et données sensibles stockés dans les navigateurs web.
Il s’agit du successeur de DumpChromeSecrets, étendu pour fonctionner avec plusieurs navigateurs utilisés en entreprise.
Navigateurs supportés :
- Chrome
- Microsoft Edge
- Brave
- Opera
- Opera GX
- Vivaldi
- Firefox
L’outil permet d’extraire ces informations depuis un seul exécutable Windows.
Pourquoi les navigateurs sont une cible critique
Les navigateurs modernes servent de coffres-forts d’identifiants.
Ils stockent notamment :
- mots de passe enregistrés
- cookies de session
- tokens OAuth
- numéros de carte bancaire
- données d’autocomplétion
- historique de navigation
- favoris
Ces informations sont stockées dans :
- bases SQLite
- fichiers JSON
Sur une machine compromise, ces données permettent :
- prise de contrôle de comptes cloud
- accès SaaS sans mot de passe
- mouvement latéral dans le réseau
Différence avec Mimikatz
| Outil | Cible |
|---|---|
| Mimikatz | LSASS, SAM, identifiants Windows |
| DumpBrowserSecrets | identifiants stockés dans les navigateurs |
Dans de nombreuses entreprises modernes :
- les applications utilisent SSO
- les accès passent par SaaS et navigateur
Le navigateur devient donc la source principale de secrets exploitables.
Architecture de l’outil
DumpBrowserSecrets comporte deux composants :
Fonctionnement :
- lancement de l’exécutable
- création d’un processus navigateur headless
- injection DLL
- récupération de la clé de chiffrement
- déchiffrement des bases SQLite
- export des données en JSON
Contournement de App-Bound Encryption
Depuis Chrome 127, Google a introduit :
App-Bound Encryption
Cette protection lie les clés de chiffrement :
- à l’application Chrome
- à l’identité du processus
La clé chiffrée est stockée dans :
Elle ne peut être déchiffrée que via :
DumpBrowserSecrets contourne cette protection en :
- lançant un processus Chromium headless
- injectant la DLL via Early Bird APC injection
- utilisant IElevator COM depuis le contexte du navigateur
- récupérant la clé déchiffrée
Méthodes de déchiffrement par navigateur
Chromium (Chrome / Edge / Brave)
Chiffrement :
Technique utilisée :
- injection DLL
- récupération clé via IElevator COM
Opera / Opera GX / Vivaldi
Chiffrement :
Technique :
- récupération clé DPAPI
- déchiffrement local
Firefox
Chiffrement :
Extraction directe par l’exécutable.
Données extraites
Chromium (Chrome / Edge / Brave)
- cookies
- identifiants enregistrés
- cartes bancaires
- tokens OAuth
- autofill
- historique
- favoris
Opera / Vivaldi
- cookies
- logins
- cartes bancaires
- tokens OAuth
- autofill
- historique
- favoris
Firefox
- cookies
- identifiants
- tokens OAuth
- autofill
- historique
- favoris
Format de sortie
Les données sont exportées au format :
Nom du fichier par défaut :
Option personnalisée :
Utilisation
Syntaxe
Options
Navigateurs possibles :
Exemples
Extraction du navigateur par défaut :
Extraction Chrome :
Extraction complète Firefox :
Extraction tous navigateurs :
Scénario d’attaque réaliste
Un attaquant compromet un poste développeur.
L’utilisateur est connecté à :
- GitHub
- AWS
- Okta
- GitLab interne
LSASS est protégé par Credential Guard, donc Mimikatz échoue.
L’attaquant exécute :
Résultat :
- cookies de session actifs
- tokens OAuth
- identifiants enregistrés
- données internes
L’attaquant peut ensuite :
- rejouer les sessions cloud
- accéder aux comptes SaaS
- se déplacer latéralement.
Techniques d’évasion
DumpBrowserSecrets intègre plusieurs techniques pour éviter la détection :
- obfuscation de chaînes
- API hashing
- PPID spoofing
- argument spoofing
- injection Early Bird APC
- duplication de handles
- parser SQLite custom (SQLoot)
Objectif :
réduire la détection par EDR.
Opportunités de détection
Signaux suspects :
Injection processus navigateur
Lancement navigateur headless
en dehors de :
- CI/CD
- automation
Accès aux bases SQLite
fichiers surveillés :
Appels COM suspects
par un processus non navigateur.
Mesures de mitigation
Utiliser un gestionnaire de mots de passe externe
Exemples :
- Bitwarden Desktop
- 1Password
- KeePass
Ces solutions stockent les secrets hors navigateur.
Sécurité endpoint
- surveillance injection processus
- détection appels IElevator
- protection bases SQLite navigateur
Gestion des identifiants
- éviter stockage mot de passe navigateur
- rotation tokens OAuth
- MFA systématique.
Conclusion
DumpBrowserSecrets illustre une évolution importante des attaques post-exploitation :
le navigateur est désormais une cible plus intéressante que LSASS.
Avec la généralisation :
- du SSO
- des SaaS
- des sessions cloud persistantes
la compromission d’un simple navigateur peut donner accès à l’ensemble de l’environnement d’une organisation.
Tester ce type d’attaque est essentiel pour comprendre le véritable impact d’un poste développeur compromis.
Type d’article et but: présentation d’un nouvel outil axé sur l’extraction de données de navigateurs et le contournement de protections.
🔗 Source originale : https://www.darknet.org.uk/2026/03/dumpbrowsersecrets-browser-credential-harvesting-with-app-bound-encryption-bypass/