T1555.003: 来自 Web 浏览器的凭据

摘要

攻击者可能通过读取特定于目标浏览器的文件，从 Web 浏览器获取凭据。(Citation: Talos Olympic Destroyer 2018) Web 浏览器通常保存诸如网站用户名和密码之类的凭据，以便将来无需手动输入。Web 浏览器通常以加密格式将凭据存储在凭据存储中；然而，存在从 Web 浏览器提取明文凭据的方法。 例如，在 Windows 系统上，可以通过读取数据库文件 <code>AppData\Local\Google\Chrome\User Data\Default\Login Data</code> 并执行 SQL 查询：<code>SELECT action_url, username_value, password_value FROM logins;</code> 从 Google Chrome 获取加密凭据。然后可以通过将加密凭据传递给 Windows API 函数 <code>CryptUnprotectData</code> 来获得明文密码，该函数使用受害者的缓存登录凭据作为解密密钥。(Citation: Microsoft CryptUnprotectData April 2018) 攻击者已对常见的 Web 浏览器（如 FireFox、Safari、Edge 等）执行了类似的过程。(Citation: Proofpoint Vega Credential Stealer May 2018)(Citation: FireEye HawkEye Malware July 2017) Windows 将 Internet Explorer 和 Microsoft Edge 凭据存储在由 [Windows 凭据管理器](https://attack.mitre.org/techniques/T1555/004)管理的凭据储物柜（Credential Locker）中。 攻击者还可能通过搜索 Web 浏览器进程内存中通常与凭据匹配的模式来获取凭据。(Citation: GitHub Mimikittenz July 2016) 在从 Web 浏览器获取凭据后，攻击者可能尝试在不同系统和/或账户之间回收这些凭据以扩大访问权限。当从 Web 浏览器获得的凭据与特权账户（例如域管理员）重叠时，这可能显著推进攻击者的目标。