LsassReflectDumping

Esta herramienta aprovecha la técnica de Process Forking mediante la API RtlCreateProcessReflection para clonar el proceso lsass.exe. Una vez creado el clon, utiliza callbacks de MINIDUMP_CALLBACK_INFORMATION para generar un volcado de memoria del proceso clonado.

Pasos

• Obtener el identificador (handle) del proceso Lsass.exe
• Clonar el proceso Lsass.exe usando RtlCreateProcessReflection (Process Forking)
• Usar callbacks de MINIDUMP_CALLBACK_INFORMATION para crear el minidump del proceso clonado
• Confirmar el contenido y el tamaño del dump.
• Terminar el proceso clonado.

Uso

Simplemente ejecuta el archivo compilado.

ReflectDump.exe 

Volcado sin conexión

Usa Mimikatz o Pypykatz para analizar el archivo de volcado sin conexión.

sekurlsa::minidump [filename] sekurlsa::logonpasswords
pypykatz lsa minidump [filename]

Próximas funciones

* Encrypt dump before writing on disk to bypass static detection.
* Exfiltrate on C2 Server

Descargo de responsabilidad

El contenido proporcionado en este repositorio es únicamente con fines educativos e informativos.

Referencia

https://www.deepinstinct.com/blog/dirty-vanity-a-new-approach-to-code-injection-edr-bypass