LsassReflectDumping

このツールは、RtlCreateProcessReflection APIを使用してlsass.exeプロセスを複製するProcess Forking手法を活用します。クローンが作成されると、MINIDUMP_CALLBACK_INFORMATIONコールバックを利用して複製プロセスのメモリダンプを生成します。

手順

• Lsass.exeプロセスのハンドルを取得する
• RtlCreateProcessReflectionを使用してLsass.exeプロセスを複製する（Process Forking）
• MINIDUMP_CALLBACK_INFORMATIONコールバックを使用して複製プロセスのミニダンプを作成する
• ダンプの内容とサイズを確認する。
• 複製プロセスを終了する。

使用方法

コンパイル済みファイルを実行するだけです。

ReflectDump.exe 

オフラインダンプ

MimikatzまたはPypykatzを使用して、ダンプファイルをオフラインで解析します。

sekurlsa::minidump [filename] sekurlsa::logonpasswords
pypykatz lsa minidump [filename]

今後の機能

* Encrypt dump before writing on disk to bypass static detection.
* Exfiltrate on C2 Server

免責事項

このリポジトリで提供されるコンテンツは、教育および情報提供のみを目的としています。

参照

https://www.deepinstinct.com/blog/dirty-vanity-a-new-approach-to-code-injection-edr-bypass