SharpDPAPI

SharpDPAPI SharpDPAPI is a C port of some DPAPI functionality from @gentilkiwi's Mimikatz project. I did not come up with this logic, it is simply a port from Mimikatz in order to better understand the process and operationalize it to fit our workflow. The SharpChrome subproject is an adaptation ...

chlonium

Chlonium Chlonium is an application designed for cloning Chromium Cookies. From Chromium 80 and upwards, cookies are encrypted using AES-256 GCM, with a state key which is stored in the Local State file. This state key is encrypted using DPAPI. This is a change from older versions, which used DPA...

DonPAPI

DonPAPI DonPAPI automates secrets dump remotely on multiple Windows computers, with defense evasion in mind. Collected credentials: Chromium browser Credentials, Cookies and Chrome Refresh Token Windows Certificates Credential Manager Firefox browser Credentials and Cookies Mobaxterm Credentials...

mimikatz-missing-manual

The Mimikatz Missing Manual The definitive guide to Windows Identity, Kerberos, and PKI Research. Originally developed as a private, high-end training curriculum for security conferences, this material is now being released to the public. Much of the technical depth and internal logic documented...

lsawhisper-bof

LSA Whisperer BOF A Cobalt Strike Beacon Object File BOF port of LSA Whisperer — the tool that talks directly to Windows authentication packages through the LSA untrusted/trusted client interface, without touching LSASS process memory even when PPL and Credential Guard is enabled. Why This Exists...

pypykatz

🚩 Sponsors If you like this project, consider purchasing licenses of OctoPwn, our full pentesting suite that runs in your browser! For notifications on new builds/releases and other info, hop on to our Discord pypykatz Mimikatz implementation in pure Python. At least a part of it : Runs on all OS...

LaZagneForensic

The LaZagne Project !!! Description The LaZagne project is back !!! LaZagne uses an internal Windows function called CryptUnprotectData to decrypt user passwords. This API should be called on the victim user session, otherwise, it does not work. If the computer has not been started when the...

DPAPISnoop

DPAPISnoop DPAPI 사용자 MasterKey 및 CREDHIST 파일에서 크랙 가능한 DPAPI 해시를 추출하는 C 도구입니다. MasterKey$DPAPImk$와 전체 CREDHIST 체인$credhist$을 모두 대상으로 하며, 로컬 경로 및 원격 SMB 공유를 지원합니다. 추출 항목 MasterKey 해시 $DPAPImk$ 각 사용자의 MasterKey는 \Users\AppData\Roaming\Microsoft\Protect\에서 찾을 수 있습니다. 크래킹하면 사용자의 도메인 비밀번호를 얻을 수 있으며, 해당...

VeeamDumper-BOF

Veeam Dumper BOF Veeam Backup and Replication 및 Veeam One용 자격 증명 추출 BOF로, @MWRCyberSec의 Stephen Munro와 Logan Kroeger가 제작했습니다. 이 BOF는 Veeam One 또는 Veeam Backup and Replication 서버의 Admin 비콘에서 실행해야 하며 Cobalt Strike 및 Outflank C2를 지원합니다. tldr; The BOF uses sqlcmd.exe/psql.exe to extract encrypted...

solarflare

solarflare Credential Dumping Tool for SolarWinds Orion Blog post: https://malicious.link/post/2020/solarflare-release-password-dumper-for-solarwinds-orion/ Credit to @asolino, @gentilkiwi, and @skelsec for helping me figuring out DPAPI. ============================================ | Collecting...

solarflare

solarflare SolarWinds Orion용 자격 증명 덤프 도구 블로그 게시글: https://malicious.link/post/2020/solarflare-release-password-dumper-for-solarwinds-orion/ DPAPI를 이해하는 데 도움을 준 @asolino, @gentilkiwi, @skelsec에게 감사드립니다. ============================================ | Collecting RabbitMQ Erlang Cookie | Erlang Cooki...

tofu

tofu 오프라인 Windows 파일 시스템을 해킹하고 로그인 화면을 우회하기 위한 모듈식 도구입니다. 해시 덤프, OSK 백도어, 사용자 열거 등을 수행할 수 있습니다. 작동 방식 : Windows 컴퓨터가 종료된 경우, Bitlocker 또는 다른 암호화 서비스가 활성화되어 있지 않으면 저장 장치는 잠금 해제된 것처럼 장치에 저장된 모든 것을 포함합니다. 즉, 부팅 가능한 USB의 운영 체제로 부팅하여 파일에 접근하거나 파일 시스템을 다른 컴퓨터에 연결할 수 있습니다. 이 도구는 Linux에서 Windows 파일 시스템에...

chlonium

Chlonium Chlonium은 Chromium 쿠키를 복제하기 위해 설계된 애플리케이션입니다. Chromium 80 이상부터 쿠키는 AES-256 GCM으로 암호화되며, 상태 키는 Local State 파일에 저장됩니다. 이 상태 키는 DPAPI를 사용하여 암호화됩니다. 이는 이전 버전에서 쿠키 데이터베이스의 각 쿠키 항목을 DPAPI로 암호화하던 방식에서 변경된 것입니다. 즉, 상태 키를 가지고 있다면 DPAPI 키에 지속적으로 접근할 필요 없이 오프라인에서 쿠키 데이터베이스를 항상 복호화할 수 있습니다. 이것은 기본적으...

dploot

dploot dploot is Python rewrite of SharpDPAPI written in C by Harmj0y, which is itself a port of DPAPI from Mimikatz by gentilkiwi. It implements all the DPAPI logic of these tools, but this time it is usable with a python interpreter and from a Linux environment. If you don't know what is DPAPI,...

dpapi-ng

dpaping - Python DPAPI-NG 복호화/암호화 라이브러리 DPAPI NGCNG DPAPI라고도 함의 복호화 및 암호화를 위한 Python 라이브러리입니다. NCryptUnprotectSecret 및 NCryptProtectSecret의 동작을 재현하도록 설계되었습니다. Windows가 아닌 호스트에서 PFX 사용자 보호 암호 또는 LAPS 암호화 암호와 같은 DPAPI NG로 보호된 비밀값을 복호화/암호화하는 데 사용할 수 있습니다. 도메인의 루트 키 오프라인 사본을 사용하여 모든 DPAPI NG blob을...

CacheData_decrypt

CacheDatadecrypt Windows EntraId CacheData를 무차별 대입BF하고 복호화하는 간단한 툴킷입니다. usage: decryptcachedata.py -h pin,password ... CacheData bruteforcer. On a live windows host, to copy the folders with all subfolders and files: xcopy /H /E /G /C as SYSTEM. The script will automatically iterates on each Entr...

CVE-2026-92680

CVE-2026-92680 Proof of Concept Araxis Merge for Windows stores server credentials with DPAPI with pOptionalEntropy set to NULL. This allows any code running in the same user context to decrypt them. Full writeup: https://grepstrength.com/research/araxis-merge | ---|--- CVE| CVE-2026-92680 CWE|...

dpapi-toolkit

DPAPI-toolkit Windows DPAPI 증거를 위한 오프라인 툴킷입니다. 파일을 수집한 뒤 툴에 아티팩트를 지정하면, 툴이 형식을 인식하여 필요한 마스터 키가 정확히 무엇인지 알려줍니다. 키 자료를 제공하면 복호화합니다. 대부분의 DPAPI 툴링은 형식별로 스크립트가 하나씩이거나, 더 큰 공격 프레임워크 안에 묻혀 있는 기능입니다. 이 툴은 전체 범위를 아우르는 단일 도구입니다 — 마스터 키, DPAPI 블롭, Credential Manager, Vault, CREDHIST, Wi-Fi, RDP/RDCMan,...

MAL-2026-12513 Malicious code in async-mutex-lock (npm)

--- -= Per source details. Do not edit below this line.=- Source: amazon-inspector e195fef439eb6af3d28576857a30030e4bd839406fa36b2f939279743f12188e The package is advertised as a mutex-lock utility but ships none of the documented API no Mutex/lock/unlock. Its sole export, getPlugin in index.js,...

MAL-2026-11123 Malicious code in @yancyyu/agentcli (npm)

The npm package @yancyyu/agentcli ships a Feishu/Lark credential stealer. An auto-started telemetry worker src/main/telemetry/worker.ts, started via agentcli init/agentcli usage start and macOS launchd calls safeScanLarkCredentials in its periodic run loop; the scan reads and decrypts local Lark...