Nemesis 2.2 Automatiza Quebra da Criptografia DPAPI do Windows

A Nemesis 2.2 não é só mais uma atualização de ferramenta de red team: ela converte em rotina operacional o que antes exigia cadeias manuais complexas de extração, derivação e aplicação de chaves DPAPI. Com ela, um atacante que já tenha obtido chaves de backup de domínio, via CVE-2023-36004 ou por comprometimento de servidores de diretório, pode descriptografar, em escala, todos os blobs DPAPI de usuários do domínio, passados e futuros, sem precisar reentrar em cada estação. Isso inclui senhas salvas no Credential Manager, cookies criptografados pelo Chrome com App-Bound Encryption v3, credenciais do Microsoft Vault e até chaves CNG protegidas por masterkeys do sistema, cujos arquivos residem em C:\ProgramData\Microsoft\Crypto\SystemKeys e dependem diretamente do TPM para resistência a extração.

O grande salto técnico está na automação da cadeia ABE v3 + CNG: a versão 2.2 identifica automaticamente se um blob foi cifrado com DPAPI clássico, AES+DPAPI (como no estado local do Chrome), ou ABE v3 com chave CNG derivada, e aplica o fluxo correto de descriptografia, inclusive recuperando a chave AES-256 do processo Chrome em memória via ReadProcessMemory(), sem injeção nem privilégios elevados, explorando a falha confirmada em janeiro de 2026. Isso torna obsoletos workflows anteriores baseados em SharpDPAPI + scripts manuais de parsing de masterkeys.

Para defensores, a Nemesis 2.2 expõe uma contradição crítica: recursos como App-Bound Encryption e DPAPI-NG foram projetados para conter ataques de pós-exploração, mas sua implementação real depende de camadas frágeis, como a proteção de masterkeys do sistema contra extração de memória ou a segurança das chaves de backup de domínio armazenadas em servidores vulneráveis. Um único comprometimento dessas chaves permite descriptografar dados sensíveis em toda a infraestrutura por anos, mesmo após troca de senhas e reinicialização de máquinas. Empresas que confiam em DPAPI para proteger credenciais de Wi-Fi, conexões VPN ou tokens de API estão, na prática, usando um mecanismo de proteção que agora opera como um ‘desbloqueio em massa’ assim que o domínio é violado.