DuplicateDump

DuplicateDumpはMirrorDumpのフォークで、以下の変更が加えられています。

• DInvokeの実装
• C++で記述されたLSAプラグインDLL。LSASSのダンプ後にクリーンアップ可能。MirrorDumpはLSAプラグインを.NETアセンブリとしてコンパイルするため、LSASSプロセスによってアンロードされず、プラグインの削除に失敗します。
• ダンププロセス（DuplicateDump）のPIDが名前付きパイプを介してLSAプラグインに共有される
• MiniDumpWriteDumpにLSASS PIDの代わりに値"0"を渡す。これにより、MiniDumpWriteDumpがLSASSへの自ハンドルを開くのを防ぐ。

DuplicateDumpはカスタムLSAプラグインを追加し、LSASSプロセスハンドルをLSASSプロセスからDuplicateDumpに複製します。そのため、DuplicateDumpはOpenProcessを呼び出さずにLSASSへの使用可能なプロセスハンドルを保持します。

テスト

DuplicateDumpをメモリにロードすることで、以下の環境で検出されることなくLSASSメモリをダンプできました。

• Symantec 14.3
• Kaspersky Enterprise
• Windows Defender

Cortex XDR、Crowdstrikeでは検出されました。SentinalOneでは検出されずにLSASSをダンプできませんでした。

使用法

LSAプラグイン（SpLsaModeInitializeまたはdllMain関数をエクスポート）をコンパイルし、そのDLLの完全なパスをDuplicateDumpに指定します。

.\DuplicateDump.exe --help
  -f, --filename=VALUE      ダンプファイルの書き込み先パス
  -p, --plugin=VALUE        LSAプラグインの完全なファイルパス
  -c, --compress            ダンプファイルをGZipで圧縮し、ディスク上から削除する
  -d, --DebugPriv           SeDebugPrivilegeを取得する
  -h, --help                このヘルプを表示

例

.\DuplicateDump.exe -f test -c -p C:\LSAPlugin.dll
[+] LSAセキュリティパッケージを読み込み中
[+] 名前付きパイプ接続、現在のPID 6492を応答
[+] 複製されたLSASSプロセスハンドル0x3d0を発見
[+] 圧縮されたダンプファイルをtest.gzに保存

改善点

• DuplicateDumpはDInvokeを使用してAPI AddSecurityPackageを呼び出し、LSAプラグインをロードします。そのAPI呼び出しを直接行わずに、RPC呼び出しを使用することもできます。詳細はXPNのブログ記事を参照してください。
• 最近、splinter_codeがSecLogonを利用してLSASSをダンプできることを発見しました。彼のブログ記事を強くお勧めします。

参考文献

• https://github.com/CCob/MirrorDump
• https://rastamouse.me/dumping-lsass-with-duplicated-handles/
• https://github.com/jfmaes/SharpHandler