AV\EDR Сокрытие дампа lsass

[SpacePirate]

Всем привет!
Может кто-нибудь подсказать/посоветовать существующие решения и методы дампа lsass, которые не возбуждают AV(ни по статике, ни по динамике)? В частности, интересуют Defender, ESET, Kaspersky

 

[RedNode]

Yes use indirect syscalls it works and bypass Eset and Windows defender

 

[zenfai]

https://github.com/fortra/nanodump - надо только криптануть под нужные ав

 

[SpacePirate]

https://github.com/fortra/nanodump - надо только криптануть под нужные ав

Какими крипторами пользуетесь?

 

[bryanross]

https://github.com/fortra/nanodump - надо только криптануть под нужные ав

криптанул подписал сертом, как именно дампить ?
ЕДР от софоса сразу удаляет файл дмп но сам нанодамп остается в системе незамеченным.
использовал nanodump.x64.exe
может нужен другой билд нанодампа

 

[Premium]

криптанул подписал сертом, как именно дампить ?
ЕДР от софоса сразу удаляет файл дмп но сам нанодамп остается в системе незамеченным.
использовал nanodump.x64.exe
может нужен другой билд нанодампа

там много методов дампа. каким ты пользуешься? если seclogon-duplicate то софос его знает...
но если дамп создается, то нужно его сохранять там откуда его сложно удалить.

 

[zenfai]

криптанул подписал сертом, как именно дампить ?
ЕДР от софоса сразу удаляет файл дмп но сам нанодамп остается в системе незамеченным.
использовал nanodump.x64.exe
может нужен другой билд нанодампа

шли сразу к себе на серв. под софос не использую данное решение, его можно потушит.

эти обфускаторы не работают в реальных условиях

блоги шкафчиков пополняются, значит какие-то да работают, углубляйся в тему дорабатывай паблик или пиши свои решения, без этого дальше лаб и стф не продвинешся.

 

[bryanross]

шли сразу к себе на серв. под софос не использую данное решение, его можно потушит.

имеешь ввиду указывать унц путь туда где нет софоса?
подскажи чем, его можно потушить?

 

[SpacePirate]

криптанул подписал сертом, как именно дампить ?
ЕДР от софоса сразу удаляет файл дмп но сам нанодамп остается в системе незамеченным.
использовал nanodump.x64.exe
может нужен другой билд нанодампа

А дамп с валидной сигнатурой делаешь? Может стоит его попортить, nanodump умеет или вообще никуда его не сохранять - в память и на сервер

 

[bryanross]

А дамп с валидной сигнатурой делаешь? Может стоит его попортить, nanodump умеет или вообще никуда его не сохранять - в память и на сервер

--fork --write c:\temp\ls.dmp
так удается создать дамп, подскажи как иначе с какими парметрами можно сделать?
Может его в запароленный архив можно сразу сохранять или еще чтонибудь подобное.
Я честно не понимаю как сохранить его в память и перенести потом на сервер

 

[zenfai]

имеешь ввиду указывать унц путь туда где нет софоса?
подскажи чем, его можно потушить?

нужный тебе функционал реазован в скрипте для кобалта. через драйвер