combine

Überprüfe mit diesem großartigen Tool die Sicherheit der Anmeldedaten deiner Windows Local Security Authority.

Zugehöriger Dump-Decoder @ https://github.com/ruggi99/combine-decoder

Einführung

Durch die Anpassung der Rust-Bibliothek safetydump (vielen Dank an den Autor!!!) konnte ich problemlos alle Gegenmaßnahmen umgehen, die von den meisten EDRs implementiert wurden, mit Ausnahme von Kaspersky EDR und TrendMicro (neue Erkennung, seit ein paar Stunden).

dbghelp!MiniDumpWriteDump mit einem benutzerdefinierten Callback konnte bis vor einem Jahr verwendet werden, um die meisten Antiviren-/EDR-Lösungen zu umgehen.

Jetzt erkennen die meisten von ihnen statisch oder verhaltensbasiert mühelos das Nutzungsmuster der System-API bei Programmen, die in Sprachen wie C++, Delphi und C# geschrieben sind. (Es könnte dank des undokumentierten NtOpenProcessEx trotzdem möglich sein, aber das ist eine andere Geschichte.)

Wenn du eine Go-Implementierung hast, gib mir bitte Feedback. Ich bin dran, habe aber noch ein paar Fehler in Bezug auf die Speichergröße.

Ich vermute, dass es weiterhin keine Möglichkeit gibt, den MiniDumpWriteDump-Callback zu überwachen, und der gesamte Schutz gegen einen möglichen Credential-Dump über diese Technik wird dann den Erkennungen durch maschinelles Lernen anvertraut.

Verwendung

GUI

CMD

DECRYPT

Referenzen

Ermöglicht dank

• https://loong716.top/posts/lsass/
• https://www.thehacker.recipes/ad/movement/credentials/dumping/lsass
• https://danielsauder.com/2016/02/06/memdumps-volatility-mimikatz-vms-part-1-mimikatz-lsass-exe-dump/
• https://www.whiteoaksecurity.com/blog/attacks-defenses-dumping-lsass-no-mimikatz/
• https://www.ired.team/offensive-security/credential-access-and-credential-dumping/dumping-credentials-from-lsass.exe-process-memory

Viele Codeausschnitte stammen von

• https://github.com/postrequest/safetydump (sehr große Hilfe!!! danke!!!)
• https://github.com/azazelm3dj3d/lsass-dump/blob/main/Dump/Dump.cpp
• https://rastamouse.me/dumping-lsass-with-duplicated-handles/

Haftungsausschluss

Ich übernehme keine Verantwortung für eine unsachgemäße Verwendung dieses Tools. Es ist für Forschungs- und Sicherheitstestzwecke gedacht.

Hinweise

Die einzigen wirksamen Gegenmaßnahmen (die ich kenne) gegen diese Sub-Technik sind RunAsPPL und CredentialGuard, aber es ist nicht immer möglich, diese Optionen zu aktivieren.