DPAPISnoop

DPAPISnoop DPAPI 사용자 MasterKey 및 CREDHIST 파일에서 크랙 가능한 DPAPI 해시를 추출하는 C 도구입니다. MasterKey$DPAPImk$와 전체 CREDHIST 체인$credhist$을 모두 대상으로 하며, 로컬 경로 및 원격 SMB 공유를 지원합니다. 추출 항목 MasterKey 해시 $DPAPImk$ 각 사용자의 MasterKey는 \Users\AppData\Roaming\Microsoft\Protect\에서 찾을 수 있습니다. 크래킹하면 사용자의 도메인 비밀번호를 얻을 수 있으며, 해당...

VeeamDumper-BOF

Veeam Dumper BOF Veeam Backup and Replication 및 Veeam One용 자격 증명 추출 BOF로, @MWRCyberSec의 Stephen Munro와 Logan Kroeger가 제작했습니다. 이 BOF는 Veeam One 또는 Veeam Backup and Replication 서버의 Admin 비콘에서 실행해야 하며 Cobalt Strike 및 Outflank C2를 지원합니다. tldr; The BOF uses sqlcmd.exe/psql.exe to extract encrypted...

solarflare

solarflare Credential Dumping Tool for SolarWinds Orion Blog post: https://malicious.link/post/2020/solarflare-release-password-dumper-for-solarwinds-orion/ Credit to @asolino, @gentilkiwi, and @skelsec for helping me figuring out DPAPI. ============================================ | Collecting...

solarflare

solarflare SolarWinds Orion용 자격 증명 덤프 도구 블로그 게시글: https://malicious.link/post/2020/solarflare-release-password-dumper-for-solarwinds-orion/ DPAPI를 이해하는 데 도움을 준 @asolino, @gentilkiwi, @skelsec에게 감사드립니다. ============================================ | Collecting RabbitMQ Erlang Cookie | Erlang Cooki...

mimikatz-missing-manual

Mimikatz 누락 매뉴얼 Windows ID, Kerberos 및 PKI 연구에 대한 최고의 가이드. 원래 보안 컨퍼런스를 위한 비공개 고급 교육 커리큘럼으로 개발되었던 이 자료가 이제 공개됩니다. 여기에 문서화된 기술적 깊이와 내부 로직 상당수는 Mimikatz의 저자 Benjamin Delpy 의 직접적인 도움과 통찰을 바탕으로 다듬어졌습니다. 이 매뉴얼에 관하여 이 프로젝트는 수년간의 강사 주도 자료를 자기 주도형 심층 매뉴얼로 전환합니다. 조작되는 Windows 프로토콜의 명령뿐만 아니라 이유 와 방법 을 설명합니다...

DonPAPI

DonPAPI DonPAPI는 방어 회피를 고려하여 여러 Windows 컴퓨터에서 원격으로 비밀을 덤프하는 작업을 자동화합니다. 수집된 자격 증명: Chromium 브라우저 자격 증명, 쿠키 및 Chrome Refresh Token Windows 인증서 자격 증명 관리자 Firefox 브라우저 자격 증명 및 쿠키 Mobaxterm 자격 증명 MRemoteNg 자격 증명 RDC Manager 자격 증명 바탕 화면 및 최근 폴더의 파일 SCCM 자격 증명 Vaults 자격 증명 VNC 자격 증명 Wi-Fi 자격 증명 DPAPI에 ...

pypykatz

🚩 Sponsors If you like this project, consider purchasing licenses of OctoPwn, our full pentesting suite that runs in your browser! For notifications on new builds/releases and other info, hop on to our Discord pypykatz Mimikatz implementation in pure Python. At least a part of it : Runs on all OS...

lsawhisper-bof

LSA Whisperer BOF Cobalt Strike Beacon Object File BOF 포트로, LSA Whisperer를 기반으로 합니다. 이 도구는 LSA의 신뢰할 수 없는/신뢰하는 클라이언트 인터페이스를 통해 Windows 인증 패키지에 직접 통신하며, PPL 및 Credential Guard가 활성화된 경우에도 LSASS 프로세스 메모리를 건드리지 않습니다. 존재 이유 Evan McBroom SpecterOps의 LSA Whisperer는 합법적인 LsaCallAuthenticationPackage API 호...

tofu

tofu 오프라인 Windows 파일 시스템을 해킹하고 로그인 화면을 우회하기 위한 모듈식 도구입니다. 해시 덤프, OSK 백도어, 사용자 열거 등을 수행할 수 있습니다. 작동 방식 : Windows 컴퓨터가 종료된 경우, Bitlocker 또는 다른 암호화 서비스가 활성화되어 있지 않으면 저장 장치는 잠금 해제된 것처럼 장치에 저장된 모든 것을 포함합니다. 즉, 부팅 가능한 USB의 운영 체제로 부팅하여 파일에 접근하거나 파일 시스템을 다른 컴퓨터에 연결할 수 있습니다. 이 도구는 Linux에서 Windows 파일 시스템에...

chlonium

Chlonium Chlonium은 Chromium 쿠키를 복제하기 위해 설계된 애플리케이션입니다. Chromium 80 이상부터 쿠키는 AES-256 GCM으로 암호화되며, 상태 키는 Local State 파일에 저장됩니다. 이 상태 키는 DPAPI를 사용하여 암호화됩니다. 이는 이전 버전에서 쿠키 데이터베이스의 각 쿠키 항목을 DPAPI로 암호화하던 방식에서 변경된 것입니다. 즉, 상태 키를 가지고 있다면 DPAPI 키에 지속적으로 접근할 필요 없이 오프라인에서 쿠키 데이터베이스를 항상 복호화할 수 있습니다. 이것은 기본적으...

chlonium

Chlonium Chlonium is an application designed for cloning Chromium Cookies. From Chromium 80 and upwards, cookies are encrypted using AES-256 GCM, with a state key which is stored in the Local State file. This state key is encrypted using DPAPI. This is a change from older versions, which used DPA...

SharpDPAPI

SharpDPAPI SharpDPAPI는 @gentilkiwi의 Mimikatz 프로젝트에 있는 일부 DPAPI 기능의 C 포트입니다. 이 로직은 제가 만든 것이 아니며, 단순히 Mimikatz에서 포팅한 것으로, 과정을 더 잘 이해하고 워크플로에 맞게 운영화하기 위함입니다. SharpChrome 하위 프로젝트는 @gentilkiwi와 @djhohnstein의 작업, 특히 그의 SharpChrome 프로젝트를 각색한 것입니다. 그러나 이 버전의 SharpChrome은 잠금 없이 열기를 지원하는 C SQL 라이브러리의 다른 버전...

LaZagneForensic

라자뉴 프로젝트 !!! == 설명 라자뉴 프로젝트가 돌아왔습니다 !!! LaZagne는 CryptUnprotectData 라는 내부 Windows 함수를 사용하여 사용자 비밀번호를 복호화합니다. 이 API는 피해자 사용자 세션에서 호출되어야 하며, 그렇지 않으면 작동하지 않습니다. 컴퓨터가 시작되지 않은 경우오프라인으로 마운트된 디스크에서 분석이 수행될 때 또는 원격 호스트에 바이너리를 드롭하고 싶지 않은 경우, 비밀번호를 검색할 수 없습니다. LaZagneForensic은 이 문제를 해결하기 위해 만들어졌습니다. 이 작업은...

dploot

dploot dploot is Python rewrite of SharpDPAPI written in C by Harmj0y, which is itself a port of DPAPI from Mimikatz by gentilkiwi. It implements all the DPAPI logic of these tools, but this time it is usable with a python interpreter and from a Linux environment. If you don't know what is DPAPI,...

dpapi-ng

dpaping - Python DPAPI-NG 복호화/암호화 라이브러리 DPAPI NGCNG DPAPI라고도 함의 복호화 및 암호화를 위한 Python 라이브러리입니다. NCryptUnprotectSecret 및 NCryptProtectSecret의 동작을 재현하도록 설계되었습니다. Windows가 아닌 호스트에서 PFX 사용자 보호 암호 또는 LAPS 암호화 암호와 같은 DPAPI NG로 보호된 비밀값을 복호화/암호화하는 데 사용할 수 있습니다. 도메인의 루트 키 오프라인 사본을 사용하여 모든 DPAPI NG blob을...

CacheData_decrypt

CacheDatadecrypt Windows EntraId CacheData를 무차별 대입BF하고 복호화하는 간단한 툴킷입니다. usage: decryptcachedata.py -h pin,password ... CacheData bruteforcer. On a live windows host, to copy the folders with all subfolders and files: xcopy /H /E /G /C as SYSTEM. The script will automatically iterates on each Entr...

CVE-2026-92680

CVE-2026-92680 Proof of Concept Araxis Merge for Windows stores server credentials with DPAPI with pOptionalEntropy set to NULL. This allows any code running in the same user context to decrypt them. Full writeup: https://grepstrength.com/research/araxis-merge | ---|--- CVE| CVE-2026-92680 CWE|...

dpapi-toolkit

DPAPI-toolkit Windows DPAPI 증거를 위한 오프라인 툴킷입니다. 파일을 수집한 뒤 툴에 아티팩트를 지정하면, 툴이 형식을 인식하여 필요한 마스터 키가 정확히 무엇인지 알려줍니다. 키 자료를 제공하면 복호화합니다. 대부분의 DPAPI 툴링은 형식별로 스크립트가 하나씩이거나, 더 큰 공격 프레임워크 안에 묻혀 있는 기능입니다. 이 툴은 전체 범위를 아우르는 단일 도구입니다 — 마스터 키, DPAPI 블롭, Credential Manager, Vault, CREDHIST, Wi-Fi, RDP/RDCMan,...

MAL-2026-12513 Malicious code in async-mutex-lock (npm)

--- -= Per source details. Do not edit below this line.=- Source: amazon-inspector e195fef439eb6af3d28576857a30030e4bd839406fa36b2f939279743f12188e The package is advertised as a mutex-lock utility but ships none of the documented API no Mutex/lock/unlock. Its sole export, getPlugin in index.js,...

MAL-2026-11123 Malicious code in @yancyyu/agentcli (npm)

The npm package @yancyyu/agentcli ships a Feishu/Lark credential stealer. An auto-started telemetry worker src/main/telemetry/worker.ts, started via agentcli init/agentcli usage start and macOS launchd calls safeScanLarkCredentials in its periodic run loop; the scan reads and decrypts local Lark...