РАЗБОР Статья

ProcDump encryption *.dmp с помощью Mimikatz

Sunnych Mod. Forensics · 273 сообщений

6,9 тыс. 10.05.2019

Режим чтения

Уже не впервой хакеры используют для разведки и сбора готовые программы как пример ProcDump.
Инструмент который будем использовать для раскрытия файла дампа - Mimikatz
У нас на форуме есть статья Ох уж этот Mimikatz

В нашем конкретном примере хакер использовал для сбора информации ProcDump и сделал дамп процеса lsass (сервис проверки подлинности локальной системы безопасности (англ. Local Security Authority Subsystem Service, LSASS) — часть операционной системы Windows, отвечающая за авторизацию локальных пользователей отдельного компьютера).

Начнем сразу с ошибки, если у Вас результат будет как на картинке ниже, то Вы просто не угадали с разрядностью Mimikatz (на PrtSc запущена версия х64)

Запускаем cmd или PowerShell заранее я скопировал в папку с Mimikatz файл "lsass.dmp" который был создам хакером с помощью ProcDump,
далее указаны команды:

Код:

.\mimikatz.exe
privilege::debug
sekurlsa::minidump lsass.dmp
sekurlsa::logonPasswords full

Введенные команды

Результат >> mimikatz # sekurlsa::logonPasswords full

Полезно · 9

#dmp #forensic #mimikatz #procdump

ProcDump encryption *.dmp с помощью Mimikatz

Комментарии

Ещё по теме