LsassReflectDumping

Этот инструмент использует технику Process Forking с помощью API RtlCreateProcessReflection для клонирования процесса lsass.exe. После создания клона он использует обратные вызовы MINIDUMP_CALLBACK_INFORMATION для создания дампа памяти клонированного процесса.

Шаги

• Получение дескриптора процесса Lsass.exe
• Клонирование процесса Lsass.exe с помощью RtlCreateProcessReflection (Process Forking)
• Использование обратных вызовов MINIDUMP_CALLBACK_INFORMATION для создания минидампа клонированного процесса
• Проверка содержимого и размера дампа.
• Завершение клонированного процесса.

Использование

Просто выполните скомпилированный файл.

ReflectDump.exe 

Офлайн-анализ дампа

Используйте Mimikatz или Pypykatz для анализа файла дампа в офлайн-режиме.

sekurlsa::minidump [filename] sekurlsa::logonpasswords
pypykatz lsa minidump [filename]

Планируемые возможности

* Encrypt dump before writing on disk to bypass static detection.
* Exfiltrate on C2 Server

Отказ от ответственности

Содержимое данного репозитория предоставлено исключительно в образовательных и информационных целях.

Ссылка

https://www.deepinstinct.com/blog/dirty-vanity-a-new-approach-to-code-injection-edr-bypass