LsassReflectDumping

تستخدم هذه الأداة تقنية Process Forking عبر واجهة RtlCreateProcessReflection API لاستنساخ عملية lsass.exe. وبمجرد إنشاء النسخة المستنسخة، تعتمد على استدعاءات MINIDUMP_CALLBACK_INFORMATION لإنشاء تفريغ ذاكرة للعملية المستنسخة.

Steps

• الحصول على مقبض عملية Lsass.exe
• استنساخ عملية Lsass.exe باستخدام RtlCreateProcessReflection (Process Forking)
• استخدام استدعاءات MINIDUMP_CALLBACK_INFORMATION لإنشاء minidump للعملية المستنسخة
• تأكيد محتوى التفريغ وحجمه.
• إنهاء العملية المستنسخة.

Usage

ما عليك سوى تنفيذ الملف المترجم.

ReflectDump.exe 

Offline Dumping

استخدم Mimikatz أو Pypykatz لتحليل ملف التفريغ دون اتصال.

sekurlsa::minidump [filename] sekurlsa::logonpasswords
pypykatz lsa minidump [filename]

Upcoming Features

* Encrypt dump before writing on disk to bypass static detection.
* Exfiltrate on C2 Server

Disclaimer

المحتوى المقدم في هذا المستودع لأغراض تعليمية وإعلامية فقط.

Reference

https://www.deepinstinct.com/blog/dirty-vanity-a-new-approach-to-code-injection-edr-bypass