combine

この素晴らしいツールで、Windows ローカル セキュリティ機関の資格情報の安全性をチェックしましょう。

関連するダンプデコーダー: https://github.com/ruggi99/combine-decoder

はじめに

safetydump Rust ライブラリを再適応することにより(作者に多大な感謝を!!!)、Kaspersky EDR と TrendMicro(数時間前からの新しい検出)を除く、ほとんどの EDR が講じているすべての対策を簡単にバイパスできるようになりました。

カスタムコールバック付きの dbghelp!MiniDumpWriteDump は、1年前までは、ほとんどのアンチウイルス/EDRソリューションをバイパスするために使用できました。

現在、それらのほとんどは、C++、Delphi、C# などの言語で書かれたプログラムについて、システム API の使用パターンを静的解析または挙動解析によって簡単に認識します。 (とはいえ、非公開の NtOpenProcessEx のおかげで可能かもしれませんが、それはまた別の話です)

Go での実装をお持ちの方は、フィードバックをお願いします。私も取り組んでいますが、メモリサイズに関するバグがまだいくつかあります。

MiniDumpWriteDump コールバックを監視する方法は依然として存在せず、この手法による資格情報ダンプの可能性に対するすべての防御は、機械学習による検出に委ねられているのではないかと考えています。

使い方

GUI

CMD

DECRYPT

参考情報

作成にあたり、以下に感謝します:

• https://loong716.top/posts/lsass/
• https://www.thehacker.recipes/ad/movement/credentials/dumping/lsass
• https://danielsauder.com/2016/02/06/memdumps-volatility-mimikatz-vms-part-1-mimikatz-lsass-exe-dump/
• https://www.whiteoaksecurity.com/blog/attacks-defenses-dumping-lsass-no-mimikatz/
• https://www.ired.team/offensive-security/credential-access-and-credential-dumping/dumping-credentials-from-lsass.exe-process-memory

多くのコードスニペットは以下からのものです:

• https://github.com/postrequest/safetydump (非常に役立ちました!!! ありがとうございます!!!)
• https://github.com/azazelm3dj3d/lsass-dump/blob/main/Dump/Dump.cpp
• https://rastamouse.me/dumping-lsass-with-duplicated-handles/

免責事項

このツールの不適切な使用について、私は一切の責任を負いません。これは研究およびセキュリティテストを目的としています。

注記

このサブテクニックに対する(私が知る限り)唯一の効果的な緩和策は RunAsPPL と CredentialGuard ですが、これらのオプションを常に有効にできるとは限りません。