LsassReflectDumping

Esta ferramenta utiliza a técnica de Process Forking usando a API RtlCreateProcessReflection para clonar o processo lsass.exe. Uma vez criado o clone, ela utiliza callbacks MINIDUMP_CALLBACK_INFORMATION para gerar um despejo de memória do processo clonado.

Passos

• Obtendo o handle do processo Lsass.exe
• Clonando o processo Lsass.exe usando RtlCreateProcessReflection (Process Forking)
• Usando callbacks MINIDUMP_CALLBACK_INFORMATION para criar o minidump do processo clonado
• Confirmando o conteúdo e o tamanho do dump.
• Encerrando o processo clonado.

Uso

Basta executar o arquivo compilado.

ReflectDump.exe 

Dumping Offline

Use o Mimikatz ou Pypykatz para analisar o arquivo de dump offline.

sekurlsa::minidump [filename] sekurlsa::logonpasswords
pypykatz lsa minidump [filename]

Recursos Futuros

* Encrypt dump before writing on disk to bypass static detection.
* Exfiltrate on C2 Server

Aviso Legal

O conteúdo fornecido neste repositório é apenas para fins educacionais e informativos.

Referência

https://www.deepinstinct.com/blog/dirty-vanity-a-new-approach-to-code-injection-edr-bypass