LsassReflectDumping

Cet outil exploite la technique de forking de processus à l'aide de l'API RtlCreateProcessReflection pour cloner le processus lsass.exe. Une fois le clone créé, il utilise les callbacks MINIDUMP_CALLBACK_INFORMATION pour générer un dump mémoire du processus cloné.

Étapes

• Obtention du handle du processus Lsass.exe
• Clonage du processus Lsass.exe à l'aide de RtlCreateProcessReflection (Process Forking)
• Utilisation des callbacks MINIDUMP_CALLBACK_INFORMATION pour créer un minidump du processus cloné
• Vérification du contenu et de la taille du dump.
• Arrêt du processus cloné.

Utilisation

Exécutez simplement le fichier compilé.

ReflectDump.exe 

Dumping hors ligne

Utilisez Mimikatz ou Pypykatz pour analyser le fichier de dump hors ligne.

sekurlsa::minidump [filename] sekurlsa::logonpasswords
pypykatz lsa minidump [filename]

Fonctionnalités à venir

* Encrypt dump before writing on disk to bypass static detection.
* Exfiltrate on C2 Server

Avertissement

Le contenu fourni sur ce dépôt est uniquement à des fins éducatives et informatives.

Référence

https://www.deepinstinct.com/blog/dirty-vanity-a-new-approach-to-code-injection-edr-bypass