LetMeowIn

C++와 MASM x64를 사용하는 정교하고 은밀한 LSASS 덤퍼입니다.

Binary Defense 및 Cyber Security News에서 소개되었습니다.

면책 조항

이것으로 사악한 일을 하지 마세요. 저는 이 도구를 배우기 위해 만들었습니다. 연방 요원이 당신 집 문을 두드려도 저는 책임지지 않습니다.

---

역사적으로는 다음을 우회할 수 있었으며(현재도 우회할 수 있을 수 있음):

• Windows Defender
• Malwarebytes Anti-Malware
• CrowdStrike Falcon EDR (Falcon Complete + OverWatch)
• Palo Alto Cortex xDR (강력한 초기 접근 방법과 결합되었을 때)

기능

다양한 수단을 통해 탐지를 회피합니다. 예:

• 간접 시스템 호출을 통한 NTAPI 작업 수동 구현
• 원격 분석 기능(예: ETW) 비활성화 차단
• 컴파일 타임 해시 생성을 통한 다형성
• API 함수 이름과 포인터 난독화
• 새 핸들을 열지 않고 기존 LSASS 핸들 복제
• 메모리 덤프를 수행할 LSASS 프로세스의 오프라인 복사본 생성
• 드롭된 파일의 MDMP 시그니처 손상
• 아마도 여기에 언급하는 것을 잊은 다른 것들

단점

• x64 아키텍처에서만 동작
• 대상 시스템에 기존에 열려 있는 LSASS 핸들이 존재해야 함
• 이것이 영원히 탐지되지 않을 것이라고 기대하지 마세요 🙂