LsassReflectDumping

Questo strumento sfrutta la tecnica di Process Forking utilizzando l'API RtlCreateProcessReflection per clonare il processo lsass.exe. Una volta creato il clone, utilizza i callback MINIDUMP_CALLBACK_INFORMATION per generare un memory dump del processo clonato.

Passaggi

• Ottenere l'handle del processo Lsass.exe
• Clonare il processo Lsass.exe utilizzando RtlCreateProcessReflection (Process Forking)
• Utilizzare i callback MINIDUMP_CALLBACK_INFORMATION per creare un minidump del processo clonato
• Confermare il contenuto e la dimensione del dump.
• Terminare il processo clonato.

Utilizzo

Eseguire semplicemente il file compilato.

ReflectDump.exe 

Dump Offline

Utilizzare Mimikatz o Pypykatz per analizzare il file di dump offline.

sekurlsa::minidump [filename] sekurlsa::logonpasswords
pypykatz lsa minidump [filename]

Funzionalità in Arrivo

* Encrypt dump before writing on disk to bypass static detection.
* Exfiltrate on C2 Server

Disclaimer

Il contenuto fornito in questo repository ha solo scopo educativo e informativo.

Riferimento

https://www.deepinstinct.com/blog/dirty-vanity-a-new-approach-to-code-injection-edr-bypass