Implementierung und Überprüfung robuster Endpoint Detection and Response (EDR)-Lösungen, die auf ungewöhnliche NTAPI-Aufrufe und Dateierstellungsmuster achten.
Bewertung v1.2, deterministisch berechnet. Bedrohungswert und Konfidenz sind getrennte Größen.Methodik
TrickDump — Dump lsass using only NTAPI functions creating 3 JSON and 1 ZIP file... and generate the MiniDump file later!
Dump lsass using only NTAPI functions creating 3 JSON and 1 ZIP file... and generate the MiniDump file later! · Sprache: C# · Topics: lsass, lsass-dump, mimikatz, ntapi, ntdll-unhooking, redteam-tools · ⭐ 565 Stars
SecBoard-Einordnung
Das Tool ermöglicht das Auslesen von Anmeldeinformationen auf eine Weise, die traditionelle Erkennungsmethoden umgehen kann. Dies erhöht das Risiko eines unbefugten Zugriffs auf Systeme und Daten.
Realistisch schlimmster Fall: Erfolgreiches Auslesen von Anmeldeinformationen, was zu lateralen Bewegungen innerhalb des Netzwerks, Privilegienerhöhung und Datenexfiltration führen kann, ohne dass herkömmliche Sicherheitslösungen dies erkennen.
Empfehlung: Implementierung und Überprüfung robuster Endpoint Detection and Response (EDR)-Lösungen, die auf ungewöhnliche NTAPI-Aufrufe und Dateierstellungsmuster achten. Sensibilisierung der Sicherheitsteams für diese neue Technik.
Betroffen
Organisationen, die Windows-Systeme verwenden und deren Anmeldeinformationen im LSASS-Prozess gespeichert sind.
Prüfen
3- ▸Überprüfen Sie, ob Ihre EDR-Lösung ungewöhnliche NTAPI-Aufrufe, insbesondere im Zusammenhang mit LSASS-Prozessen, erkennen und alarmieren kann.
- ▸Überprüfen Sie die Protokolle auf die Erstellung von mehreren JSON- und ZIP-Dateien in ungewöhnlichen Verzeichnissen oder durch ungewöhnliche Prozesse.
▸ 1 weitere▾ weniger
- ▸Validieren Sie, ob Ihre Sicherheitslösungen die Entkopplung von ntdll erkennen und darauf reagieren können.
Offene Punkte
3▸ anzeigen▾ ausblenden
- ▸Es wird nicht spezifiziert, welche spezifischen NTAPI-Funktionen verwendet werden.
- ▸Es werden keine spezifischen Indikatoren für Kompromittierung (IOCs) wie Dateinamen oder Hashes genannt.
- ▸Es wird nicht spezifiziert, welche Betriebssystemversionen oder -konfigurationen besonders anfällig sind.
Red-Team-Relevanz
Was heißt das für dein nächstes Assessment?
▸ Einordnung anzeigen▾ Einordnung ausblenden
- Initial Access möglich?Unklar
- Privilege Escalation relevant?Unklar
- Exploit öffentlich verfügbar?Unklar
- Detection / Logging prüfbar?Unklar
- Für Purple-Team-Szenario geeignet?Unklar
Kundenfragen
- Sind wir hiervon betroffen — und können wir es detektieren?
Erwähnte Akteure & Werkzeuge
Abgleich mit dem MITRE-ATT&CK-Katalog
MITRE ATT&CK(2)
Techniken aus allen Quellen zusammengeführt — nach Stärke des Belegs sortiert.
„TrickDump ... ermöglicht das Auslesen von LSASS-Prozessdaten ... ermöglicht für heimlichere Ernte von Anmeldeinformationen.“
„Diese Technik ... entkoppelt ntdll“
Mehrere Herkünfte bei derselben Technik heißt: mehrere unabhängige Wege führen dorthin.
Quellen & Belege· 1 Quelle
Nutzer-/popularitaetsgetriebene Sammlung, Zuverlaessigkeit je Beitrag verschieden.
- Nur eine Quelle — der Sachverhalt ist an keiner zweiten Stelle gegengelesen.