chlonium

Chlonium Chlonium is an application designed for cloning Chromium Cookies. From Chromium 80 and upwards, cookies are encrypted using AES-256 GCM, with a state key which is stored in the Local State file. This state key is encrypted using DPAPI. This is a change from older versions, which used DPA...

SharpDPAPI

SharpDPAPI SharpDPAPI 是 @gentilkiwi 的 Mimikatz 项目中部分 DPAPI 功能的 C 移植版本。 我并未构思此逻辑，它仅仅是 Mimikatz 的移植，旨在更好地理解流程并将其操作化以适应我们的工作流程。 SharpChrome 子项目改编自 @gentilkiwi 和 @djhohnstein 的工作，特别是其 SharpChrome 项目。然而，此版本的 SharpChrome 使用了支持无锁打开的不同版本的 C SQL 库。由于所使用的 SQLite 库体积较大，SharpChrome 在 SharpDPAPI 中被构建为一个单独的项目。...

DonPAPI

DonPAPI DonPAPI 可在多台 Windows 计算机上远程自动转储机密，同时具备防御规避意识。 收集的凭据： Chromium 浏览器凭据、Cookie 和 Chrome 刷新令牌 Windows 证书 凭据管理器 Firefox 浏览器凭据和 Cookie Mobaxterm 凭据 MRemoteNg 凭据 RDC Manager 凭据 桌面和最近文件夹中的文件 SCCM 凭据 保险库凭据 VNC 凭据 Wi-Fi 凭据 我们曾用法语做过一次关于 DPAPI 的演讲，标题为 DPAPI - Don't Put Administration Passwords In 🇫🇷 ：...

pypykatz

🚩 Sponsors If you like this project, consider purchasing licenses of OctoPwn, our full pentesting suite that runs in your browser! For notifications on new builds/releases and other info, hop on to our Discord pypykatz Mimikatz implementation in pure Python. At least a part of it : Runs on all OS...

LaZagneForensic

LaZagne项目 !!! 描述 LaZagne项目 又回来了 !!! LaZagne 使用一个名为 CryptUnprotectData 的Windows内部函数来解密用户密码。这个API应该在受害者用户会话中调用，否则无法正常工作。如果计算机尚未启动（在离线挂载磁盘上进行分析时），或者我们不想在远程主机上放置二进制文件，则无法检索到任何密码。 LaZagneForensic 是为了解决这个问题而创建的。这项工作主要受 Jean-Michel Picod 和 Elie Bursztein 为 DPAPICK 所做的出色工作，以及 Francesco Picasso 为 Windows...

solarflare

solarflare Credential Dumping Tool for SolarWinds Orion Blog post: https://malicious.link/post/2020/solarflare-release-password-dumper-for-solarwinds-orion/ Credit to @asolino, @gentilkiwi, and @skelsec for helping me figuring out DPAPI. root@kitploit: ============================================...

mimikatz-missing-manual

Mimikatz缺失手册 Windows身份、Kerberos和PKI研究的权威指南。 最初作为面向安全会议的高端培训课程内部开发，现在向公众发布。本文档中记录的许多技术深度和内部逻辑是在Mimikatz作者 Benjamin Delpy 的直接帮助和洞察下完善的。 关于本手册 本项目将多年的讲师授课材料转变为自定进度的深入手册。它不仅解释命令，还解释被操控的Windows协议背后的 为什么 和 如何 。 本手册面向： 红队 ：详细的命令参考和操作技巧。 蓝队 ：检测策略、事件日志特征和缓解指南。 安全研究人员 ：关于Windows安全机构（LSA）内部机制的高级课程。 您可以在...

lsawhisper-bof

LSA Whisperer BOF 一个 Cobalt Strike Beacon 对象文件 BOF 移植版，基于 LSA Whisperer——该工具通过 LSA 非受信/受信客户端接口直接与 Windows 身份验证包通信，即使启用了 PPL 和 Credential Guard，也无需访问 LSASS 进程内存。 为什么存在 LSA Whisperer 由 Evan McBroom（SpecterOps）开发，证明了你可以通过合法的 LsaCallAuthenticationPackage API 调用恢复 DPAPI 凭据密钥、提取云 SSO 令牌以及与 Kerberos...

dploot

dploot dploot es un reescritura en Python de SharpDPAPI escrita en C por Harmj0y, que a su vez es un port de DPAPI de Mimikatz por gentilkiwi. Implementa toda la lógica DPAPI de estas herramientas, pero esta vez es utilizable con un intérprete de Python y desde un entorno Linux. Si no sabes qué e...

DPAPISnoop

DPAPISnoop Una herramienta en C que extrae hashes DPAPI crackeables de las MasterKeys de usuario y de los archivos CREDHIST. Apunta tanto a la MasterKey $DPAPImk$ como a toda la cadena CREDHIST $credhist$, con soporte para rutas locales y recursos compartidos SMB remotos. Qué extrae Hashes de...

CacheData_decrypt

CacheDatadecrypt Un simple kit de herramientas para hacer fuerza bruta y descifrar el CacheData de Windows EntraId. root@kitploit: usage: decryptcachedata.py -h pin,password ... CacheData bruteforcer. On a live windows host, to copy the folders with all subfolders and files: xcopy /H /E /G /C as...

MAL-2026-12513 Malicious code in async-mutex-lock (npm)

--- -= Per source details. Do not edit below this line.=- Source: amazon-inspector e195fef439eb6af3d28576857a30030e4bd839406fa36b2f939279743f12188e The package is advertised as a mutex-lock utility but ships none of the documented API no Mutex/lock/unlock. Its sole export, getPlugin in index.js,...

MAL-2026-11123 Malicious code in @yancyyu/agentcli (npm)

--- -= Per source details. Do not edit below this line.=- Source: amazon-inspector 7f6774653f487db8fbb9b40f1c1aba2bf959edffae409445162b0d245a3bedf1 The @yancyyu/agentcli package installs a telemetry worker dist/telemetry-worker.bundle.mjs that is started by agentcli init / agentcli usage start an...

MAL-2026-10925 Malicious code in tilaver-mfa (npm)

--- -= Per source details. Do not edit below this line.=- Source: amazon-inspector 8713506d95648bc2ee9d15418c356259ca9f1d10fb305fd546e3d38c911aea0e index.js is a heavily obfuscated custom VM-bytecode dispatcher with 0x-style identifiers Windows infostealer that executes on module load. It...

Malicious code in cold-debug-elevator (npm)

--- -= Per source details. Do not edit below this line.=- Source: amazon-inspector cae8ef53b42bfe7f208c404e2e973600fa174f41c5a2009814f5f0e892769195 The package presents itself as a debugging utility but its exported API is a browser credential stealer targeting installer-owned secrets. The...

MAL-2025-192309 Malicious code in node-dpapi1 (npm)

--- -= Per source details. Do not edit below this line.=- Source: amazon-inspector a892f37c5be6dceac9cda541ce52d7dc4456d98acbfaa7d2a1e530d181567e29 The package node-dpapi1 was found to contain malicious code. Source: ghsa-malware 96a0f4f04fbe21b39cfa4fe8473fc5394bcecce0f814fcba5f89d6f6217e523d An...

EUVD-2023-39988

Malicious code in bioql PyPI...

EUVD-2022-37672

Malicious code in bioql PyPI...

EUVD-2025-19758

Malicious code in bioql PyPI...

CVE-2025-34091 Chrome Cookie Encryption Bypass via Padding Oracle Attack on AppBound Encryption

A padding oracle vulnerability exists in Google Chrome’s AppBound cookie encryption mechanism due to observable decryption failure behavior in Windows Event Logs when handling malformed ciphertext in SYSTEM-DPAPI-encrypted blobs. A local attacker can repeatedly send malformed ciphertexts to the...