LsassReflectDumping

यह टूल RtlCreateProcessReflection API का उपयोग करके Process Forking तकनीक का लाभ उठाता है, ताकि lsass.exe प्रक्रिया का क्लोन बनाया जा सके। क्लोन बनने के बाद, यह क्लोन की गई प्रक्रिया का मेमोरी डंप उत्पन्न करने के लिए MINIDUMP_CALLBACK_INFORMATION कॉलबैक का उपयोग करता है।

चरण

• Lsass.exe प्रक्रिया का हैंडल प्राप्त करना
• RtlCreateProcessReflection (प्रोसेस फोर्किंग) का उपयोग करके Lsass.exe प्रक्रिया को क्लोन करना
• क्लोन की गई प्रक्रिया का मिनीडंप बनाने के लिए MINIDUMP_CALLBACK_INFORMATION कॉलबैक का उपयोग करना
• डंप की सामग्री और आकार की पुष्टि करना।
• क्लोन की गई प्रक्रिया को समाप्त करना।

उपयोग

संकलित फ़ाइल को केवल निष्पादित करें।

ReflectDump.exe 

ऑफ़लाइन डंपिंग

डंप फ़ाइल को ऑफ़लाइन पार्स करने के लिए Mimikatz या Pypykatz का उपयोग करें।

sekurlsa::minidump [filename] sekurlsa::logonpasswords
pypykatz lsa minidump [filename]

आगामी सुविधाएँ

* Encrypt dump before writing on disk to bypass static detection.
* Exfiltrate on C2 Server

अस्वीकरण

इस रिपॉज़िटरी में प्रदान की गई सामग्री केवल शैक्षिक और सूचनात्मक उद्देश्यों के लिए है।

संदर्भ

https://www.deepinstinct.com/blog/dirty-vanity-a-new-approach-to-code-injection-edr-bypass