Verbesserung der Erkennungsfähigkeiten für ungewöhnliche NTAPI-Aufrufe und Speicherzugriffsmuster, insbesondere im Zusammenhang mit dem LSASS-Prozess.
Bewertung v1.2, deterministisch berechnet. Bedrohungswert und Konfidenz sind getrennte Größen.Methodik
NativeDump — Dump lsass using only NTAPI functions by hand-crafting Minidump files (without MiniDumpWriteDump!!!)
Dump lsass using only NTAPI functions by hand-crafting Minidump files (without MiniDumpWriteDump!!!) · Sprache: C# · Topics: lsass, lsass-dump, ntapi, ntdll-unhooking, redteam-tools, security-tools · ⭐ 745 Stars
SecBoard-Einordnung
Diese Methode ermöglicht das Auslesen von LSASS-Anmeldeinformationen auf eine Weise, die herkömmliche Erkennungsmechanismen umgehen kann, da sie eine weniger übliche API-Funktion verwendet. Dies erhöht das Risiko eines erfolgreichen Credential Harvesting durch Angreifer.
Realistisch schlimmster Fall: Erfolgreiches Auslesen von LSASS-Anmeldeinformationen, was zu lateraler Bewegung, Privilegienerhöhung und dauerhaftem Zugriff auf das Netzwerk führen kann, ohne dass Standard-Erkennungstools dies bemerken.
Betroffen
Organisationen, die anfällig für Red-Team-Taktiken und Advanced Persistent Threats (APTs) sind.
Prüfen
3- ▸Überprüfen Sie Ihre EDR/SIEM-Lösungen auf die Erkennung von ungewöhnlichen NTAPI-Aufrufen, die auf den LSASS-Prozess abzielen, insbesondere solche, die nicht `MiniDumpWriteDump` verwenden.
- ▸Validieren Sie, ob Ihre Systeme ungewöhnliche Speicherzugriffsmuster auf den LSASS-Prozess erkennen und alarmieren können, die auf manuelle Minidump-Erstellung hindeuten.
▸ 1 weitere▾ weniger
- ▸Stellen Sie sicher, dass Ihre Endpoint-Schutzlösungen in der Lage sind, die Ausführung von C#-Tools zu überwachen und zu blockieren, die versuchen, auf sensible Prozesse wie LSASS zuzugreifen.
Offene Punkte
3▸ anzeigen▾ ausblenden
- ▸Es wird nicht spezifiziert, welche spezifischen NTAPI-Funktionen verwendet werden.
- ▸Es werden keine spezifischen IOCs (Indicators of Compromise) oder Dateinamen des Tools genannt.
- ▸Es werden keine spezifischen betroffenen Betriebssystemversionen oder Patch-Level genannt.
MITRE ATT&CK(2)
Techniken aus allen Quellen zusammengeführt — nach Stärke des Belegs sortiert.
„NativeDump ermöglicht das Auslesen von LSASS-Prozessdaten durch manuelle Erstellung von Minidump-Dateien“
„umgeht die Notwendigkeit für MiniDumpWriteDump“
Mehrere Herkünfte bei derselben Technik heißt: mehrere unabhängige Wege führen dorthin.
Quellen & Belege· 1 Quelle
Nutzer-/popularitaetsgetriebene Sammlung, Zuverlaessigkeit je Beitrag verschieden.
- Nur eine Quelle — der Sachverhalt ist an keiner zweiten Stelle gegengelesen.