> For the complete documentation index, see [llms.txt](https://dika-maulidal.gitbook.io/home/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://dika-maulidal.gitbook.io/home/digital-forensics/browser-forensics/chrome.md).

# Chrome

### Ringkasan

Google Chrome menyimpan berbagai artefak forensik penting yang merekam aktivitas pengguna, sesi login, file unduhan, serta konfigurasi sistem browser.\
Artefak ini sering digunakan dalam investigasi **user activity**, **credential access**, **malware delivery**, dan **incident response workstation**.

Bukti yang dapat dihasilkan meliputi:

* Riwayat browsing & pencarian
* File yang diunduh
* Data login & sesi autentikasi
* Extensions & persistence berbasis browser
* Korelasi aktivitas berbasis waktu

### Konsep Utama

| Konsep                | Penjelasan                                         |
| --------------------- | -------------------------------------------------- |
| Profile-based Storage | Setiap user Chrome memiliki folder profil terpisah |
| SQLite Databases      | Artefak utama disimpan dalam database SQLite       |
| WebKit Timestamp      | Format waktu Chrome (microseconds sejak 1601)      |
| DPAPI                 | Digunakan untuk mengenkripsi data sensitif         |
| Sync                  | Aktivitas dapat tersinkron lintas perangkat        |

### Lokasi Profil Chrome

| Artefak      | Path / Lokasi                                     | Deskripsi                   |
| ------------ | ------------------------------------------------- | --------------------------- |
| User Profile | `%LocalAppData%\Google\Chrome\User Data\Default\` | Folder utama artefak Chrome |

{% hint style="warning" %}
Profil tambahan berada di `Profile 1`, `Profile 2`, dst.
{% endhint %}

### Browser Activity & Client-Side Storage Artifacts

Artefak pada bagian ini merepresentasikan aktivitas browsing pengguna serta data yang disimpan di sisi klien oleh browser. Informasi ini sangat penting untuk merekonstruksi **timeline aktivitas web**, mengidentifikasi **niat pengguna (intent)**, serta mendeteksi **akses ke situs berbahaya atau sensitif**.\
Meskipun sebagian data dapat dihapus melalui antarmuka browser, banyak artefak tetap tertinggal dan bernilai tinggi dalam investigasi forensik.

#### History

<table><thead><tr><th>Field</th><th>Value</th></tr></thead><tbody><tr><td><strong>Location / Path</strong></td><td><pre><code>...\User Data\[Profile]\History
</code></pre></td></tr><tr><td><strong>Format</strong></td><td>SQLite Database</td></tr><tr><td><strong>Purpose</strong></td><td>Mencatat aktivitas browsing pengguna</td></tr><tr><td><strong>Key Data</strong></td><td>URL, page title, visit count, visit time</td></tr><tr><td><strong>Timestamp</strong></td><td>WebKit Timestamp (µs since 1601 UTC)</td></tr><tr><td><strong>Forensic Value</strong></td><td>Rekonstruksi aktivitas web dan timeline</td></tr><tr><td><strong>Notes</strong></td><td>Data dapat tetap ada walau history dihapus via UI</td></tr><tr><td><strong>Example</strong></td><td><div><figure><img src="https://3379135436-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2F4pfT5vR8uE4ISAa7XuPV%2Fuploads%2Fig8GnwrPQrM7hhPlPLna%2Fhistory%20url.png?alt=media&amp;token=5d4efaca-3285-40d7-ba9a-d35327e5b7e9" alt=""><figcaption></figcaption></figure></div></td></tr></tbody></table>

#### Cache

<table><thead><tr><th>Field</th><th>Value</th></tr></thead><tbody><tr><td><strong>Location / Path</strong></td><td><pre><code>...\User Data\[Profile]\Cache\CacheData
</code></pre></td></tr><tr><td><strong>Format</strong></td><td>Cache block files</td></tr><tr><td><strong>Purpose</strong></td><td>Menyimpan salinan konten web</td></tr><tr><td><strong>Key Data</strong></td><td>Images, scripts, HTML, media</td></tr><tr><td><strong>Forensic Value</strong></td><td>Pemulihan konten web &#x26; bukti akses</td></tr><tr><td><strong>Notes</strong></td><td>Dapat berisi artefak walau history kosong</td></tr><tr><td><strong>Example</strong></td><td><p></p><div><figure><img src="https://3379135436-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2F4pfT5vR8uE4ISAa7XuPV%2Fuploads%2FCIhw7EpZv8xwXugIHwDW%2Fcache.png?alt=media&amp;token=a7712efd-5102-474c-ad63-26aee30849a4" alt=""><figcaption></figcaption></figure></div></td></tr></tbody></table>

#### Downloads

<table><thead><tr><th>Field</th><th>Value</th></tr></thead><tbody><tr><td><strong>Location / Path</strong></td><td><pre><code>...\User Data\[Profile]\History
</code></pre></td></tr><tr><td><strong>Format</strong></td><td>SQLite Database</td></tr><tr><td><strong>Purpose</strong></td><td>Mencatat file yang diunduh melalui browser</td></tr><tr><td><strong>Key Data</strong></td><td>Filename, URL sumber, path lokal, size</td></tr><tr><td><strong>Timestamp</strong></td><td>Start &#x26; end download time</td></tr><tr><td><strong>Forensic Value</strong></td><td>Identifikasi malware delivery / data exfiltration</td></tr><tr><td><strong>Notes</strong></td><td>File fisik bisa terhapus, metadata tetap ada</td></tr><tr><td><strong>Example</strong></td><td><div><figure><img src="https://3379135436-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2F4pfT5vR8uE4ISAa7XuPV%2Fuploads%2FQClBSoj4OrQ8WgXUnaKF%2Fimage.png?alt=media&amp;token=7f8fa50e-7754-460b-90bf-e3cdd1d7890e" alt=""><figcaption></figcaption></figure></div></td></tr></tbody></table>

#### Top Sites

<table><thead><tr><th>Field</th><th>Value</th></tr></thead><tbody><tr><td><strong>Location / Path</strong></td><td><pre><code>...\User Data\[Profile]\Top Sites
</code></pre></td></tr><tr><td><strong>Format</strong></td><td>SQLite Database</td></tr><tr><td><strong>Purpose</strong></td><td>Menyimpan situs yang sering diakses</td></tr><tr><td><strong>Key Data</strong></td><td>URL, ranking, title</td></tr><tr><td><strong>Forensic Value</strong></td><td>Indikasi prioritas aktivitas pengguna</td></tr><tr><td><strong>Notes</strong></td><td>Tidak selalu sinkron dengan History</td></tr><tr><td><strong>Example</strong></td><td><div><figure><img src="https://3379135436-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2F4pfT5vR8uE4ISAa7XuPV%2Fuploads%2FDRAJGjs29Emw6i01Lgey%2Fimage.png?alt=media&amp;token=918222b1-e974-47d9-a63e-25f28a95cd58" alt=""><figcaption></figcaption></figure></div></td></tr></tbody></table>

#### Bookmarks

<table><thead><tr><th>Field</th><th>Value</th></tr></thead><tbody><tr><td><strong>Location / Path</strong></td><td><pre><code>...\User Data\[Profile]\Bookmarks
</code></pre></td></tr><tr><td><strong>Format</strong></td><td>JSON</td></tr><tr><td><strong>Purpose</strong></td><td>Menyimpan situs favorit pengguna</td></tr><tr><td><strong>Key Data</strong></td><td>URL, name, folder structure</td></tr><tr><td><strong>Forensic Value</strong></td><td>Bukti niat (<em>intent evidence</em>)</td></tr><tr><td><strong>Notes</strong></td><td>Sinkron jika Chrome Sync aktif</td></tr><tr><td><strong>Example</strong></td><td><div><figure><img src="https://3379135436-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2F4pfT5vR8uE4ISAa7XuPV%2Fuploads%2FrTyLVluaLzDfyiyfQmuE%2Fimage.png?alt=media&amp;token=b09d0583-a721-4721-8876-f7321a0b66d5" alt=""><figcaption></figcaption></figure></div></td></tr></tbody></table>

#### Form History

<table><thead><tr><th>Field</th><th>Value</th></tr></thead><tbody><tr><td><strong>Location / Path</strong></td><td><pre><code>...\User Data\[Profile]\Web Data
</code></pre></td></tr><tr><td><strong>Format</strong></td><td>SQLite Database</td></tr><tr><td><strong>Purpose</strong></td><td>Menyimpan input formulir pengguna</td></tr><tr><td><strong>Key Data</strong></td><td>Keywords, email, nama, search term</td></tr><tr><td><strong>Forensic Value</strong></td><td>Pemulihan data input &#x26; kata kunci</td></tr><tr><td><strong>Notes</strong></td><td>Sinkron jika Chrome Sync aktif</td></tr><tr><td><strong>Example</strong></td><td><div><figure><img src="https://3379135436-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2F4pfT5vR8uE4ISAa7XuPV%2Fuploads%2FZxLdbS1y2o2DXVTuX3w5%2Fimage.png?alt=media&amp;token=72bb81d4-9271-403d-a7df-1d9460b3d4ef" alt=""><figcaption></figcaption></figure></div></td></tr></tbody></table>

#### Favicons

<table><thead><tr><th>Field</th><th>Value</th></tr></thead><tbody><tr><td><strong>Location / Path</strong></td><td><pre><code>...\User Data[Profile]\Favicons
</code></pre></td></tr><tr><td><strong>Format</strong></td><td>SQLite Database</td></tr><tr><td><strong>Purpose</strong></td><td>Menyimpan ikon situs web (favicon)</td></tr><tr><td><strong>Key Data</strong></td><td>URL, icon bitmap, last update time</td></tr><tr><td><strong>Forensic Value</strong></td><td>Indikasi situs yang pernah diakses</td></tr><tr><td><strong>Notes</strong></td><td>Berguna saat History kosong</td></tr><tr><td><strong>Example</strong></td><td><div><figure><img src="https://3379135436-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2F4pfT5vR8uE4ISAa7XuPV%2Fuploads%2FBWvRiq2yUfd3BRKHERIm%2Fimage.png?alt=media&amp;token=7eef8353-b190-4740-84b2-2a501d784817" alt=""><figcaption></figcaption></figure></div></td></tr></tbody></table>

### Browser Authentication & Session Artifacts

Artefak pada bagian ini berkaitan dengan mekanisme autentikasi, pengelolaan sesi, dan penyimpanan state aplikasi web di sisi klien. Data ini sangat bernilai dalam investigasi yang melibatkan **account compromise**, **session hijacking**, serta **penyalahgunaan aplikasi web berbasis browser**.&#x20;

Meskipun sebagian data bersifat sementara, banyak artefak tetap bertahan setelah browser ditutup dan dapat digunakan untuk merekonstruksi sesi pengguna secara akurat.

#### Cookies

<table><thead><tr><th>Field</th><th>Value</th></tr></thead><tbody><tr><td><strong>Location / Path</strong></td><td><pre><code>...\User Data[Profile]\Network\Cookies
</code></pre></td></tr><tr><td><strong>Format</strong></td><td>SQLite Database</td></tr><tr><td><strong>Purpose</strong></td><td>Menyimpan data sesi dan pelacakan situs</td></tr><tr><td><strong>Key Data</strong></td><td>Session ID, auth token, domain, expiry</td></tr><tr><td><strong>Timestamp</strong></td><td>Creation, last access, expiry time</td></tr><tr><td><strong>Forensic Value</strong></td><td>Identifikasi sesi login dan aktivitas akun</td></tr><tr><td><strong>Notes</strong></td><td>Dapat bertahan setelah browser ditutup</td></tr><tr><td><strong>Example</strong></td><td><div><figure><img src="https://3379135436-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2F4pfT5vR8uE4ISAa7XuPV%2Fuploads%2FNCLx8bufDICpYYHWtIy1%2Fcookies.png?alt=media&amp;token=eea6cad6-56ca-4698-8f0d-3300f6a15f8c" alt=""><figcaption></figcaption></figure></div></td></tr></tbody></table>

#### Login Data

<table><thead><tr><th>Field</th><th>Value</th></tr></thead><tbody><tr><td><strong>Location / Path</strong></td><td><pre><code>...\User Data\[Profile]\Login Data
</code></pre></td></tr><tr><td><strong>Format</strong></td><td>SQLite Database</td></tr><tr><td><strong>Purpose</strong></td><td>Menyimpan kredensial login pengguna</td></tr><tr><td><strong>Key Data</strong></td><td>Username, encrypted password, URL</td></tr><tr><td><strong>Encryption</strong></td><td>Windows DPAPI</td></tr><tr><td><strong>Forensic Value</strong></td><td>Akses akun dan validasi credential usage</td></tr><tr><td><strong>Notes</strong></td><td>Dekripsi memerlukan konteks user Windows</td></tr><tr><td><strong>Example</strong></td><td><div><figure><img src="https://3379135436-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2F4pfT5vR8uE4ISAa7XuPV%2Fuploads%2FLPZsiLpGAUMSuYSUdvQk%2Flogin%20data.png?alt=media&amp;token=8259c0cd-5443-4cb5-aa5f-c505903e5609" alt=""><figcaption></figcaption></figure></div></td></tr></tbody></table>

#### Sessions

<table><thead><tr><th>Field</th><th>Value</th></tr></thead><tbody><tr><td><strong>Location / Path</strong></td><td><pre><code>...\User Data\[Profile]\Sessions\
</code></pre></td></tr><tr><td><strong>Format</strong></td><td>Binary Session Files</td></tr><tr><td><strong>Purpose</strong></td><td>Menyimpan status tab dan jendela</td></tr><tr><td><strong>Key Data</strong></td><td>Open tabs, URLs, navigation state</td></tr><tr><td><strong>Timestamps</strong></td><td>Last session update</td></tr><tr><td><strong>Forensic Value</strong></td><td>Rekonstruksi sesi browser terakhir</td></tr><tr><td><strong>Notes</strong></td><td>Berguna saat browser ditutup mendadak</td></tr><tr><td><strong>Example</strong></td><td><div><figure><img src="https://3379135436-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2F4pfT5vR8uE4ISAa7XuPV%2Fuploads%2FBjzlf5gVLeMkBphxN1KQ%2Fimage.png?alt=media&amp;token=324014f4-66ce-4aeb-ba2b-1c4469236828" alt=""><figcaption></figcaption></figure></div></td></tr></tbody></table>

#### Local Storage

<table><thead><tr><th>Field</th><th>Value</th></tr></thead><tbody><tr><td><strong>Location / Path</strong></td><td><pre><code>...\User Data\[Profile]\Local Storage\leveldb\
</code></pre></td></tr><tr><td><strong>Format</strong></td><td>LevelDB</td></tr><tr><td><strong>Purpose</strong></td><td>Menyimpan data state aplikasi web</td></tr><tr><td><strong>Key Data</strong></td><td>Auth token, user ID, preferences</td></tr><tr><td><strong>Persistence</strong></td><td>Tetap ada walau browser ditutup</td></tr><tr><td><strong>Forensic Value</strong></td><td>Identifikasi session aktif &#x26; web app abuse</td></tr><tr><td><strong>Notes</strong></td><td>Tidak terenkripsi secara default</td></tr><tr><td><strong>Example</strong></td><td><div><figure><img src="https://3379135436-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2F4pfT5vR8uE4ISAa7XuPV%2Fuploads%2FAA4Tcci7brwlG0vHNIVU%2Fimage.png?alt=media&amp;token=5aefa0d0-e23c-42ac-a7b5-9af8c647be44" alt=""><figcaption></figcaption></figure></div></td></tr></tbody></table>

### Persistence dan Configuration Abuse

Artefak pada bagian ini berhubungan dengan mekanisme *persistence* dan penyalahgunaan konfigurasi browser. Teknik ini sering digunakan oleh **adware**, **malicious extensions**, dan **browser hijackers** untuk mempertahankan akses, memodifikasi perilaku browser, atau mengarahkan aktivitas pengguna tanpa sepengetahuan korban.

Analisis artefak ini penting untuk mengidentifikasi **auto-start behavior**, **privilege abuse**, dan **indikator kompromi berbasis browser**.

#### Extensions

<table><thead><tr><th>Field</th><th>Value</th></tr></thead><tbody><tr><td><strong>Location / Path</strong></td><td><pre><code>...\User Data\[Profile]\Extensions\
</code></pre></td></tr><tr><td><strong>Format</strong></td><td>Folder (JavaScript, JSON)</td></tr><tr><td><strong>Purpose</strong></td><td>Menyediakan fitur tambahan pada browser</td></tr><tr><td><strong>Key Data</strong></td><td><code>manifest.json</code>, background scripts, permissions</td></tr><tr><td><strong>Persistence-Method</strong></td><td>Auto-load setiap Chrome dijalankan</td></tr><tr><td><strong>Forensic Value</strong></td><td>Deteksi ekstensi berbahaya dan persistence</td></tr><tr><td><strong>Notes</strong></td><td>Periksa permission berlebihan dan code obfuscation</td></tr><tr><td><strong>Example</strong></td><td><div><figure><img src="https://3379135436-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2F4pfT5vR8uE4ISAa7XuPV%2Fuploads%2F8PqAy1u1AKDd4Tp6bN5F%2Fimage.png?alt=media&amp;token=34d05696-c8df-44c9-83f1-423c533f67ad" alt=""><figcaption></figcaption></figure></div></td></tr></tbody></table>

#### Preferences

<table><thead><tr><th>Field</th><th>Value</th></tr></thead><tbody><tr><td><strong>Location / Path</strong></td><td><pre><code>...\User Data\[Profile]\Preferences
</code></pre></td></tr><tr><td><strong>Format</strong></td><td>JSON</td></tr><tr><td><strong>Purpose</strong></td><td>Menyimpan konfigurasi utama Chrome</td></tr><tr><td><strong>Key Data</strong></td><td>Homepage, default search engine, startup behavior</td></tr><tr><td><strong>Forensic Value</strong></td><td>Deteksi browser hijacking dan setting abuse</td></tr><tr><td><strong>Notes</strong></td><td>Sering dimodifikasi oleh adware</td></tr><tr><td><strong>Example</strong></td><td><div><figure><img src="https://3379135436-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2F4pfT5vR8uE4ISAa7XuPV%2Fuploads%2FoMHSjFsWOgrC9Eue5BpU%2Fimage.png?alt=media&amp;token=4623b0f6-71ec-4cd4-8799-67fd6cad3d82" alt=""><figcaption></figcaption></figure></div></td></tr></tbody></table>

### Tools yang Direkomendasikan untuk Forensik Browser

{% hint style="info" %}
“Gunakan lebih dari satu tool dan pahami keterbatasannya untuk memvalidasi hasil analisis.”
{% endhint %}

| Tool                              | Deskripsi                                                                                                                 |
| --------------------------------- | ------------------------------------------------------------------------------------------------------------------------- |
| **DB Browser for SQLite**         | GUI untuk melihat, memodifikasi, dan mengekspor data dari database SQLite (misalnya History, Login Data) secara manual.   |
| **Browser History Examiner**      | Tool komersial yang kuat untuk mem-parsing dan menganalisis berbagai artefak browser dari Chrome, Firefox, Edge, dll.     |
| **KAPE**                          | Tool akuisisi dan pemrosesan modular. Dapat mengumpulkan semua artefak browser secara cepat dan terstruktur.              |
| **BrowsingHistoryView (Nirsoft)** | Tool yang ringkas dan *freeware* untuk menampilkan *history* dari berbagai browser dalam satu tampilan.                   |
| **Chrome Pass (Nirsoft)**         | Tool *freeware* yang berfungsi untuk memulihkan *username* dan *password* yang tersimpan di database `Login Data` Chrome. |
| **Chrome Cache View (Nirsoft)**   | Tool *freeware* khusus untuk menampilkan dan mem-parsing konten dari *cache* Chrome (*image*, *script*, dll.).            |