🎯 На red team-энгейджменте первая цель — не домен-контроллер. Это
Login Data в папке Chrome. Пара мегабайт SQLite — и в руках VPN-аккаунты, корпоративные порталы, облачные консоли.Разобрали механику browser credential dumping изнутри:
• Chrome/Edge — двухуровневое шифрование: AES-256-GCM + DPAPI. Ключ лежит в
Local State, но расшифровать его можно только в сессии жертвы• Firefox — собственная криптобиблиотека NSS вместо DPAPI. Если пользователь не поставил мастер-пароль (а большинство не ставит) — расшифровка тривиальна
• MITRE T1555.003 — техника в арсенале APT33, APT41, LAPSUS$ и десятков других группировок
🔵 Для Blue Team в статье отдельный блок: какие артефакты оставляют эти действия в логах и как их детектировать.
Полный разбор с кодом и IoC:
https://codeby.net/threads/ataki-na-menedzhery-parolei-brauzera-kak-izvlekayut-credentials-iz-chrome-firefox-i-edge.92677/