
Erstellt einen Dump des LSASS-Speichers durch Missbrauch des Windows-Fehlerberichterstattungsdienstes über ALPC und ermöglicht so die Extraktion von Anmeldeinformationen und die Offline-Analyse auf Windows-Systemen.
Neue Methode zum Dumpen von LSASS durch Missbrauch des Windows Error Reporting-Dienstes. Dabei wird über das ALPC-Protokoll eine Nachricht an den Dienst gesendet, um eine Ausnahme in LSASS zu melden. Dieser Bericht veranlasst den Dienst, den Speicher von LSASS zu dumpen.
Der Registrierungswert "DumpType" unter "HKLM\SOFTWARE\Microsoft\Windows\Windows Error Reporting\LocalDumps" sollte auf 2 gesetzt werden.