DuplicateDump

DuplicateDump DuplicateDump는 MirrorDump의 포크로서 다음과 같은 수정 사항이 있습니다: DInovke 구현 LSASS 덤프 후 정리할 수 있는 C++로 작성된 LSA 플러그인 DLL. MirrorDump는 LSA 플러그인을 .NET 어셈블리로 컴파일하여 LSASS 프로세스에 의해 언로드되지 않습니다. 그래서 MirrorDump는 플러그인을 삭제하지 못했습니다. 덤프 프로세스즉, DuplicateDump의 PID가 명명된 파이프를 통해 LSA 플러그인에 공유됩니다. LSASS PID 대신 값 "0"...

WSASS

WSASS 이 도구는 PPLProtected Process Light로 보호되는 프로세스예: LSASS.EXE의 메모리를 덤프하기 위해 오래된 WerfaultSecure.exe 프로그램을 사용하는 도구입니다. 출력은 Windows MINIDUMP 형식입니다. 이 도구는"MDMP" 매직 헤더를 자동으로 PNG 매직 헤더로 대체합니다. 덤프가 완료된 후에는 파일 시작 부분의 원래 4바이트 매직을 원래 4바이트인 0x4D, 0x44, 0x4D, 0x50 "MDMP"로 복원해야 합니다. 명령줄 구문 WSASS.exe...

blindsight

blindsight "적자생존이라는 것은 없다. 어쩌면 가장 적절한 자의 생존일지도 모른다. 해결책이 최적인지는 중요하지 않다. 중요한 것은 대안을 이기느냐이다." -- Peter Watts, Blindsight 2006 LSASS 메모리를 덤프하고 기본 대응 조치를 우회하는 레드팀 도구입니다. TxFTransactional NTFS API를 사용해 메모리 덤프를 투명하게 스크램블하여 AV/EDR/XDR을 트리거하지 않도록 합니다. 관련 기사...

HandleKatz

HandleKatz 이 도구는 Brucon2021 컨퍼런스 발표의 일환으로 구현되었으며, Lsass에 대한 복제된 핸들 을 사용하여 동일한 프로세스의 난독화된 메모리 덤프를 생성하는 방법을 보여줍니다. 이 도구는 전적으로 텍스트 세그먼트에 상주하는 실행 파일로 컴파일됩니다. 따라서 PE 파일에서 추출된 .text 세그먼트는 완전한 위치 독립 코드PIC이므로, 일반적인 셸코드처럼 취급될 수 있습니다. 메모리에서 HandleKatz를 실행할 때 풋프린트가 매우 작습니다. 자체적으로 더 이상 실행 가능한 메모리를 할당하지 않기 때문...

Dumpy

설명 이 도구는 MiniDumpWriteDump를 동적으로 호출하여 lsass 메모리 콘텐츠를 덤프합니다. 이 과정은 lsass에 대한 새 프로세스 핸들을 열지 않고 수행되며, 악성 동작 탐지를 더 어렵게 만들기 위해 DInvokers를 사용합니다. lsass에 대해 OpenProcess를 호출하지 않고 유효한 프로세스 핸들을 얻기 위해, 시스템의 모든 프로세스 핸들은 NtQuerySystemInformation, NtDuplicateObject, NtQueryObject 및 QueryFullProcessImageNameW를...

LsassReflectDumping

LsassReflectDumping 이 도구는 RtlCreateProcessReflection API를 사용하는 프로세스 포크Process Forking 기법을 활용하여 lsass.exe 프로세스를 복제합니다. 복제본이 생성되면 MINIDUMPCALLBACKINFORMATION 콜백을 사용하여 복제된 프로세스의 메모리 덤프를 생성합니다. 단계 Lsass.exe 프로세스의 핸들을 얻기 RtlCreateProcessReflection프로세스 포크을 사용하여 Lsass.exe 프로세스 복제...