NimicStack

NimicStack NimicStack는 합법적인 프로그램을 모방하기 위한 Call Stack Spoofing 기법의 순수 Nim 구현입니다. 전체 프로젝트는 WithSecure Labs가 공유한 PoC를 기반으로 합니다. 컴파일 다음 명령으로 소스 코드를 직접 컴파일할 수 있습니다: nim c -d=mingw --app=console --cpu=amd64 -o:NimicStack.exe .\Main.nim "cannot open file" 오류가 발생하는 경우 필수 종속성도 설치해야 합니다: nimble install...

ColdWer

Холодная война на вашем конечном устройстве. 🥶 ColdWer ColdWer использует обход PPL через WerFaultSecure.exe, чтобы заморозить процессы EDR/AV и выполнить дамп памяти LSASS на современных системах Windows. root@kitploit: C O L D W E R └─┴─┴── WerFaultSecure └─┴──────── LSASS Dump └─┴────────────...

DragonCastle

DragonCastle PoC, который объединяет технику бокового перемещения AutodialDLL и SSP для извлечения хэшей NTLM из процесса LSASS. Описание Загружает DLL на целевую машину. Затем включает удалённый реестр для изменения записи AutodialDLL и запускает/перезапускает службу BITS. Svchost загружает нашу...

blindsight

blindsight "적자생존이라는 것은 없다. 어쩌면 가장 적절한 자의 생존일지도 모른다. 해결책이 최적인지는 중요하지 않다. 중요한 것은 대안을 이기느냐이다." -- Peter Watts, Blindsight 2006 LSASS 메모리를 덤프하고 기본 대응 조치를 우회하는 레드팀 도구입니다. TxFTransactional NTFS API를 사용해 메모리 덤프를 투명하게 스크램블하여 AV/EDR/XDR을 트리거하지 않도록 합니다. 관련 기사...

DuplicateDump

DuplicateDump DuplicateDump — это форк MirrorDump со следующими изменениями: Реализация DInovke LSA-плагин DLL, написанный на C++, который можно очистить после дампа LSASS. MirrorDump компилирует LSA-плагин как сборку .NET, которая не может быть выгружена процессом LSASS. Вот почему MirrorDump не...

Silhouette

Silhouette Gabriel Landau 및 Mark Mager 제작, Elastic Security 소속. Shmoocon 2023에서 발표된 Hide Your Valuables — Mitigating Physical Credential Dumping Attacks에서. 슬라이드는 여기. LSA 비밀정보를 물리 메모리에서 보호하기 Silhouette은 LSASS에서 자격 증명을 덤프하기 위해 물리 메모리를 사용하는 것을 완화하는 POC입니다. 다음 세 가지 방식으로 이를 수행합니다: 1. LSASS의 페이지를 RAM에서...

nanodump

NanoDump Гибкий инструмент, создающий минидамп процесса LSASS. Содержание 1. Использование 2. Возможности 3. Комбинирование методов 4. Примеры 5. HTTPS-редиректоры 1. Использование root@kitploit: usage: Z:\nanodump.x64.exe --write C:\Windows\Temp\doc.docx --valid --duplicate --elevate-handle...

RToolZ

RToolZ PPL Lsass をダンプするために ProcExp152.sys ドライバを悪用できる、ステルスな Lsass ダンパー。 何が特別なのか? MiniDump や dbghelp.lib のメソッドへの呼び出しは一切なく、ダンプ処理はすべてダンパーが手動で行います。不要な DLL を除去することで、ダンプサイズを最小限に抑えます。 メソッドと使い方 OmriToolZ には lsass をダンプする3つのメソッドがあります: 1. 最初のメソッドは、直接システムコールを使用して lsass のハンドルを取得するだけの方法です。 2...

BypassCredGuard

BypassCredGuard - Wdigest 메모리 패치를 통한 Credential Guard 우회 배경 Adam Chester @xpn가 UseLogonCredential을 활성화하고 Wdigest가 평문 자격 증명을 캐시하도록 만드는 메모리 패치에 관한 글 "Exploring Mimikatz - Part 1 - WDigest"을 작성했는데, 저는 이 글에 흥미를 느꼈습니다. LSASS 프로세스에 로드된 wdigest.dll 모듈에는 gfParameteruseLogonCredential과 gIsCredGuardEnabled...

combine_harvester

combine 이 멋진 도구로 Windows 로컬 보안 기관LSA 자격 증명의 안전성을 확인하세요. 함께 제공되는 덤프 디코더 @ https://github.com/ruggi99/combine-decoder 소개 safetydump Rust 라이브러리를 재구성하여작성자님께 정말 감사드립니다!!!, 대부분의 EDR이 마련한 모든 대응 수단을 손쉽게 우회할 수 있었습니다. Kaspersky EDR과 TrendMicro몇 시간 전부터 새로 탐지됨는 예외입니다. 작년까지만 해도 사용자 지정 콜백과 함께...

Internal-Monologue

Атака Internal Monologue: получение NTLM-хешей без обращения к LSASS Введение Mimikatz, разработанный Бенджамином Делпи @gentilkiwi, является широко известным инструментом для постэксплуатации, позволяющим злоумышленникам извлекать из памяти пароли в открытом виде, NTLM-хеши и билеты Kerberos, а...

HandleKatz

HandleKatz 이 도구는 Brucon2021 컨퍼런스 발표의 일환으로 구현되었으며, Lsass에 대한 복제된 핸들 을 사용하여 동일한 프로세스의 난독화된 메모리 덤프를 생성하는 방법을 보여줍니다. 이 도구는 전적으로 텍스트 세그먼트에 상주하는 실행 파일로 컴파일됩니다. 따라서 PE 파일에서 추출된 .text 세그먼트는 완전한 위치 독립 코드PIC이므로, 일반적인 셸코드처럼 취급될 수 있습니다. 메모리에서 HandleKatz를 실행할 때 풋프린트가 매우 작습니다. 자체적으로 더 이상 실행 가능한 메모리를 할당하지 않기 때문...

redsnarf

root@kitploit: . \ \ | / / / \ | // \ / |\ \ / \ \ \ \ | | \ // // |/ \ | / | | /| | || /\ / /| /| || / / / / / / [email protected] @redsnarf RedSnarf is a pen-testing / red-teaming tool by Ed Williams for retrieving hashes and credentials from Windows workstations, servers and...

LsassReflectDumping

LsassReflectDumping 이 도구는 RtlCreateProcessReflection API를 사용하는 프로세스 포크Process Forking 기법을 활용하여 lsass.exe 프로세스를 복제합니다. 복제본이 생성되면 MINIDUMPCALLBACKINFORMATION 콜백을 사용하여 복제된 프로세스의 메모리 덤프를 생성합니다. 단계 Lsass.exe 프로세스의 핸들을 얻기 RtlCreateProcessReflection프로세스 포크을 사용하여 Lsass.exe 프로세스 복제...

LetMeowIn

LetMeowIn C++와 MASM x64를 사용하는 정교하고 은밀한 LSASS 덤퍼입니다. Binary Defense 및 Cyber Security News에서 소개되었습니다. 면책 조항 이것으로 사악한 일을 하지 마세요. 저는 이 도구를 배우기 위해 만들었습니다. 연방 요원이 당신 집 문을 두드려도 저는 책임지지 않습니다. 역사적으로는 다음을 우회할 수 있었으며현재도 우회할 수 있을 수 있음: Windows Defender Malwarebytes Anti-Malware CrowdStrike Falcon EDR Falcon...

Hook-PasswordChangeNotify

Hook-PasswordChangeNotify 1、PowerShellで以下のコマンドを実行します： root@kitploit: Import-Module .\Invoke-ReflectivePEInjection.ps1 Invoke-ReflectivePEInjection -PEPath HookPasswordChange.dll -procname lsass 2、ターゲットマシンのユーザーがパスワードを変更すると、新しいパスワードがC:\Windows\Temp\passwords.txtに書き込まれます。...

createdump

Windows App LSASS 덤프 - 개념 증명 이 프로젝트는 Windows App에서 Microsoft 서명 실행 파일인 createdump.exe 도구를 사용하여 LSASS 프로세스를 덤프하는 방법을 시연하며, 커스텀 후크를 활용하여 LSASS에 대한 프로세스 액세스를 활성화합니다. root@kitploit: Get-AuthentiCodeSignature -FilePath Join-Path -Path Get-AppxPackage -Name Windows365.InstallLocation -ChildPath...

CVE-2026-33826

🚨 CVE-2026-33826: Windows Active Directory 원격 코드 실행 RCE 📌 일반 개요 CVE-2026-33826은 Active Directory 도메인 서비스AD DS에 영향을 미치는 치명적인 원격 코드 실행RCE 취약점입니다. 이 결함은 AD 서비스가 Kerberos 또는 RPC 프로토콜을 통해 잘못된 형식의 인증 요청을 처리하는 방식에서 발생합니다. 도메인 컨트롤러DC 네트워크에 접근할 수 있는 비인증 공격자는 lsass.exe 프로세스에서 메모리 손상 을 유발하도록 설계된 패킷 시퀀스를 전송하...

Invoke-RunAsWithCert

Invoke-RunAsWithCert 도메인에 가입되지 않은 머신에서 Windows API를 통해 PKINIT 인증을 수행하는 PowerShell 스크립트입니다. 설명 이 cmdlet은 PKINIT를 통해 지정된 인증서로 새 로그온 세션을 생성합니다. 도메인에 가입되지 않은 VM에서 실행하도록 만들어졌습니다. 이 cmdlet에는 두 가지 모드가 있습니다. 하나는 레지스트리 키를 설정하는 모드이고, 다른 하나는 LSASS 메모리를 패치하여 도메인 컨트롤러의 인증서와 관련된 클라이언트 측 검사를 우회하는 모드입니다. 이러한 검사는...

CVE-2026-41089

CVE-2026-41089 root@kitploit: ██████╗██╗ ██╗███████╗ ██╗ ██╗ ██╗ ██████╗ ██████╗ ██╔════╝██║ ██║██╔════╝ ██║ ██║███║██╔═████╗██╔═████╗ ██║ ██║ ██║█████╗ ███████║╚██║██║██╔██║██║██╔██║ ██║ ╚██╗ ██╔╝██╔══╝ ██╔══██║ ██║████╔╝██║████╔╝██║ ╚██████╗ ╚████╔╝ ███████╗ ██║ ██║ ██║╚██████╔╝╚██████╔╝ ╚═════...