文章总结： 该文档分析了一款新型Python信息窃取恶意软件，针对17种Chromium浏览器及Firefox，窃取密码、信用卡信息、浏览历史及会话cookie。恶意软件通过构建器框架传播，支持MaaS模式，使用Nuitka或PyInstaller编译载荷，并通过异或加密和Base64编码隐藏webhook地址。其利用DPAPI和AES-256-GCM解密浏览器数据，窃取Wi-Fi密码、Discord令牌及Robloxcookie，并通过注册表运行项和计划任务建立持久性。建议加强端点检测、监控异常进程行为及网络流量分析。 综合评分： 85 文章分类： 恶意软件,威胁情报,数据泄露

一种新型 Python 信息窃取工具针对 17 种浏览器，可窃取密码、信用卡信息和会话 cookie

原创

ZM ZM

暗镜

2026年10月2日 06:00 北京

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

一款基于 Python 的信息窃取程序，以 17 款基于 Chromium 的浏览器（包括 Firefox）为目标，窃取已保存的凭据、支付卡详细信息、浏览历史记录和活动会话 cookie

该恶意软件通过构建器框架进行传播，使操作人员能够生成自定义的 Windows 有效载荷并配置自己的数据泄露 webhook。

该压缩包包含一个名为“TokenGrabber Builder”的文件夹，其中包含一个 Python 构建器和一个嵌入式窃取有效载荷。

该结构指向恶意软件即服务 (MaaS) 模型，允许多个关联方或低技能操作员构建和部署个性化样本。

构建者可以使用 Nuitka 或 PyInstaller 将嵌入式 Python 有效载荷编译成 Windows 可执行文件，或者将其保存为原始 Python 脚本。

Nuitka 特别值得注意，因为它将 Python 代码转换为本地二进制文件，减少了可恢复的 Python 字节码的存在，并使使用常见的 Python 反编译器进行分析变得更加复杂。

编译前，操作员提供一个 Discord或 Telegram webhook 地址。构建器使用密钥对该地址进行异或加密0x5A，然后进行 Base64 编码，并将其注入到有效载荷中。

这种方法可以防止 webhook 以明文形式出现，并导致单独构建的样本携带不同的编码配置值和可能不同的哈希值，从而削弱基于简单指标的聚类。

为了访问受 Chromium 保护的数据，该恶意软件会从Local State文件中检索浏览器的加密主密钥，并尝试使用 Windows DPAPI 对其进行解密。

它会在读取之前将锁定的 SQLite 数据库复制到临时位置，然后解密受 AES-256-GCM 保护的较新的 Chrome 格式条目，或者回退到较旧的基于 DPAPI 的方法。

Firefox 也在攻击范围内。该窃取程序会搜索 Firefox 的用户配置文件目录，查找 <profile\_name>``places.sqlite和cookies.sqlite``<session\_cookie>，从而收集浏览历史记录和会话 cookie。

会话窃取尤其具有破坏性，因为有效的 cookie 可以让攻击者在不知道受害者密码的情况下劫持经过身份验证的 Web 会话。

除了浏览器数据外，该恶意软件还会枚举已保存的 Wi-Fi 配置文件，netsh wlan show profiles并试图提取明文 Wi-Fi 密钥。

它会扫描 Discord LevelDB 存储中的令牌，根据 Discord 的 API 验证潜在的令牌，并查找.ROBLOSECURITY可能泄露 Roblox 帐户的 cookie。

该恶意软件通过两种方法建立持久性：在注册表中设置运行项HKCU\Software\Microsoft\Windows\CurrentVersion\Run，使用误导性的值名称WindowsUpdate，以及通过ONLOGON计划任务建立持久性。

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：暗镜 ZM ZM《一种新型 Python 信息窃取工具针对 17 种浏览器，可窃取密码、信用卡信息和会话 cookie》