iwa-tools: ferramentas ofensivas para Active Directory diretamente dentro do Chrome

iwa-tools: ferramentas ofensivas para Active Directory diretamente dentro do Chrome

A equipe de pesquisa CICADA8 publicou o iwa-tools, uma coleção de ferramentas de teste de penetração em Active Directory que rodam diretamente dentro do Google Chrome sem um shim nativo.

O projeto é baseado em Isolated Web Apps (IWAs) e na API experimental Direct Sockets do Chrome. Ao contrário de aplicações web comuns, as IWAs podem obter acesso TCP/UDP bruto. Os autores usaram essa capacidade para implementar pilhas de protocolos capazes de falar SMB, LDAP, DCE/RPC, WinRM, Kerberos, MSSQL e ADWS diretamente de um aplicativo instalado no Chrome. As ferramentas rodam dentro de pacotes .swbn assinados, instalados pelo Chrome como Isolated Web Apps. Elas podem ser usadas através do console unificado iwa-tools ou instaladas individualmente como IWAs autônomas.

O que está incluído no iwa-tools • nxc — uma adaptação do NetExec com suporte a SMB, LDAP, WinRM, MSSQL, SSH, FTP, RDP e VNC. • adidnsdump — extração de zonas DNS integradas ao AD via LDAP. • sharphound — coleta do BloodHound via LDAP e SMB. • soaphound — coleta do BloodHound via ADWS. • certipy — descoberta de ESC1–15 do AD CS, solicitações de certificado, PKINIT e UnPAC-the-hash. • ldap-shell — operações envolvendo DACLs, RBCD, Shadow Credentials, gMSA e redefinições de senha. • evil-winrm — PowerShell remoto via WinRM. • portscan — um scanner de conexão TCP. O que é particularmente interessante é que as pilhas de protocolos são escritas à mão em JavaScript. O projeto implementa NTLMv2 com assinatura e selagem, Kerberos AES256, Pass-the-Hash, Pass-the-Ticket, PKINIT e binding de canal para LDAPS e WinRM EPA. Para TLS, usa rustls compilado para WebAssembly.

Na prática, o Chrome se torna uma plataforma para ferramentas de AD: Chrome → Isolated Web App → Direct Sockets → SMB / Kerberos / LDAP / DCE-RPC / WinRM → Active Directory Arquivos .ccache e .kirbi, wordlists e resultados podem ser armazenados no armazenamento interno em memória do aplicativo.

Há também limitações: WMI via DCOM para nxc smb ainda não foi implementado, e não há parsing completo de ntds.dit dentro do navegador. O módulo baixa os arquivos de hive brutos, mas depende de um secretsdump.py local para analisá-los. Com privilégios suficientes, hashes NT podem ser obtidos via DCSync.

O projeto foi criado para a palestra “Living off the Browser” no OFFZONE 2026 e demonstra uma abordagem incomum: o navegador se torna não apenas uma interface para um kit de ferramentas ofensivas externo, mas o próprio ambiente de execução.

Ferramenta: https://github.com/CICADA8-Research/iwa-tools