Forwarded from Malware Anatomy
🔥 Тихий дамп LSASS через WMI: включаем провайдер MSFT_MTProcess
Когда procdump.exe шумит, на сцену выходит WMI. Провайдер MSFT_MTProcess умеет:
⚙️ CreateProcess — удалённый запуск команды (аналог Win32_Process.Create)
🧪 CreateDump — дамп процесса через dbghelp.dll → MiniDumpWriteDump, причём делает это WmiPrvSE.exe, а не ваш «левый» exe.
🖥 Из коробки на Windows Server 2016+; на рабочих станциях — можно доставить провайдер.
🧰 Инструменты и зачем они нужны
1) WMI_Proc_Dump.py
🎯 Для чего: точечно снять дамп нужного процесса (по PID/имени) удалённо.
✅ Плюсы: без дропа утилит на диск; тише, чем procdump; по умолчанию пишет в C:\Windows\Temp\<Process>.dmp, можно переименовать.
2) mtprocess.py
🎯 Для чего: запустить команду через CreateProcess и/или установить провайдер MTProcess на рабочей станции.
✅ Плюсы: открывает те же возможности на клиентских ОС; «легальный» канал выполнения через WMI.
Общая ценность
🕵️ OPSEC: инициатор — WmiPrvSE.exe, многие сигнатуры на сторонние дамперы не срабатывают.
📦 Минимум артефактов: используются системные компоненты (dbghelp.dll).
🧩 Гибкость: переименование дампа, скачивание по SMB; пароль/NTLM/Kerberos-аутентификация.
🚀 Быстрые примеры
Дамп через WMI_Proc_Dump.py
Выполнение/установка через mtprocess.py
🧾 Аутентификация: пароль / -hashes LMHASH:NTHASH / Kerberos -k / -aesKey, доп. -dc-ip, -target-ip, -no-pass.
⚠️ Важные моменты
🔑 Права: админ + SeDebugPrivilege (для LSASS), доступ WMI/DCOM.
🧭 Следы: WmiPrvSE.exe подгружает dbghelp.dll, трогает память целевого процесса; .dmp появляется в C:\Windows\Temp\ (или с вашим именем).
📡 Логи/детект:
• WMI-Activity (Event ID 10) — вызовы методов;
• Sysmon (EID 7/11/1) — модули/файлы/процессы;
• Сеть: DCOM/RPC (135/TCP + динамические порты).
🧱 Ограничения: MTProcess «из коробки» только на Server 2016+; на рабочих станциях — ставим провайдер.
🛡 Укрепление защиты для Blue Team: RunAsPPL / Credential Guard, минимизировать/аудировать Remote WMI, правила на MiniDumpWriteDump и появление крупных .dmp в системных путях.
🧾 TL;DR
Используем MSFT_MTProcess.CreateDump для более тихого дампа LSASS через WMI — дамп делает WmiPrvSE.exe с dbghelp.dll, без дропа procdump.
Сервера (2016+) — работают сразу; рабочие станции — через mtprocess.py -install.
Команды: wmi-proc-dump.py -proc lsass.exe [-rename …] [-download] и mtprocess.py -exec ….
🕵️ Вывод: «С большой силой приходит большая ответственность.» — дядя Бен.
Используем знания только там, где нам это разрешили.
👾 Malware Anatomy
#WMI #LSASS #MSFT_MTProcess #RedTeam #DFIR #Windows #EDR #OPSEC
Когда procdump.exe шумит, на сцену выходит WMI. Провайдер MSFT_MTProcess умеет:
⚙️ CreateProcess — удалённый запуск команды (аналог Win32_Process.Create)
🧪 CreateDump — дамп процесса через dbghelp.dll → MiniDumpWriteDump, причём делает это WmiPrvSE.exe, а не ваш «левый» exe.
🖥 Из коробки на Windows Server 2016+; на рабочих станциях — можно доставить провайдер.
🧰 Инструменты и зачем они нужны
1) WMI_Proc_Dump.py
🎯 Для чего: точечно снять дамп нужного процесса (по PID/имени) удалённо.
✅ Плюсы: без дропа утилит на диск; тише, чем procdump; по умолчанию пишет в C:\Windows\Temp\<Process>.dmp, можно переименовать.
2) mtprocess.py
🎯 Для чего: запустить команду через CreateProcess и/или установить провайдер MTProcess на рабочей станции.
✅ Плюсы: открывает те же возможности на клиентских ОС; «легальный» канал выполнения через WMI.
Общая ценность
🕵️ OPSEC: инициатор — WmiPrvSE.exe, многие сигнатуры на сторонние дамперы не срабатывают.
📦 Минимум артефактов: используются системные компоненты (dbghelp.dll).
🧩 Гибкость: переименование дампа, скачивание по SMB; пароль/NTLM/Kerberos-аутентификация.
🚀 Быстрые примеры
Дамп через WMI_Proc_Dump.py
# по PID
python wmi-proc-dump.py user:pass@host -pid 580
# по имени
python wmi-proc-dump.py user:pass@host -proc lsass.exe
# переименовать
python wmi-proc-dump.py user:pass@host -proc lsass.exe -rename chrome-debug.dmp
# скачать по SMB
python wmi-proc-dump.py user:pass@host -proc lsass.exe -download
Выполнение/установка через mtprocess.py
# запуск на сервере
python mtprocess.py -exec user:pass@host calc.exe
# запуск на рабочей станции (CIMv2)
python mtprocess.py -exec -cimv2 user:pass@host calc.exe
# установить MTProcess на рабочку
python mtprocess.py -install user:pass@host
🧾 Аутентификация: пароль / -hashes LMHASH:NTHASH / Kerberos -k / -aesKey, доп. -dc-ip, -target-ip, -no-pass.
⚠️ Важные моменты
🔑 Права: админ + SeDebugPrivilege (для LSASS), доступ WMI/DCOM.
🧭 Следы: WmiPrvSE.exe подгружает dbghelp.dll, трогает память целевого процесса; .dmp появляется в C:\Windows\Temp\ (или с вашим именем).
📡 Логи/детект:
• WMI-Activity (Event ID 10) — вызовы методов;
• Sysmon (EID 7/11/1) — модули/файлы/процессы;
• Сеть: DCOM/RPC (135/TCP + динамические порты).
🧱 Ограничения: MTProcess «из коробки» только на Server 2016+; на рабочих станциях — ставим провайдер.
🛡 Укрепление защиты для Blue Team: RunAsPPL / Credential Guard, минимизировать/аудировать Remote WMI, правила на MiniDumpWriteDump и появление крупных .dmp в системных путях.
🧾 TL;DR
Используем MSFT_MTProcess.CreateDump для более тихого дампа LSASS через WMI — дамп делает WmiPrvSE.exe с dbghelp.dll, без дропа procdump.
Сервера (2016+) — работают сразу; рабочие станции — через mtprocess.py -install.
Команды: wmi-proc-dump.py -proc lsass.exe [-rename …] [-download] и mtprocess.py -exec ….
🕵️ Вывод: «С большой силой приходит большая ответственность.» — дядя Бен.
Используем знания только там, где нам это разрешили.
👾 Malware Anatomy
#WMI #LSASS #MSFT_MTProcess #RedTeam #DFIR #Windows #EDR #OPSEC
GitHub
GitHub - 0xthirteen/WMI_Proc_Dump: Dump processes over WMI with MSFT_MTProcess
Dump processes over WMI with MSFT_MTProcess. Contribute to 0xthirteen/WMI_Proc_Dump development by creating an account on GitHub.
🔥2
Forwarded from RTEAM [cybersecurity]
99% инфраструктуры было зашифровано.
Резервные копии - тоже.
В этом лонгриде мы разбираем реальный кейс ransomware-атаки:
как мы нашли точку входа благодаря ошибке атакующего — и почему кризис управления информационной безопасностью почти всегда заканчивается катастрофой.
#RTEAM #SOC #DFIR #Ransom #Lockbit #Cybersecurity
👉 Полный разбор тут
Резервные копии - тоже.
В этом лонгриде мы разбираем реальный кейс ransomware-атаки:
как мы нашли точку входа благодаря ошибке атакующего — и почему кризис управления информационной безопасностью почти всегда заканчивается катастрофой.
#RTEAM #SOC #DFIR #Ransom #Lockbit #Cybersecurity
👉 Полный разбор тут
Linkedin
Почему ransomware в 2025 - это кризис управления. Реальный кейс взлома критической инфраструктуры
1. Вступление Ransomware давно перестал быть исключительно технической проблемой.
1👍6🔥4💩2
Forwarded from SecuriXy.kz
🔑 SrHollow - дамп LSA secrets без касания к LSASS
Очередной дампер секретов Windows, но с необычным вектором: он вообще не открывает процесс
Автор заявляет, что SentinelOne (S1) не срабатывает. Если в энгейджменте классические дамперы уже горят на EDR - стоит держать в наборе.
📖 Как работает:
1. Перечисляет объекты через
2. Если теней нет - создает точку восстановления вызовом
3. Включает
4. Читает
5. Парсит формат regf своим кодом и выводит BootKey и LSA-ключ
6. Расшифровывает все секреты AES-256 через
📦 Под капотом:
Один C#-файл на ~350 строк без внешних зависимостей плюс 4 стадии на PowerShell. Компилируется на месте через Add-Type или csc.exe, на диск ничего своего не кладет
🛡 Применение:
Пост-эксплуатация на Windows при локальном админе: пароли служб, кэш доменных логинов, ключи DPAPI для дальнейшего разбора credential stores
⚠️ Ограничения:
1. Нужен локальный админ - без
2. Нужна запускаемая служба VSS
3. Заявка про SentinelOne - результат проверки на одном стенде, не гарантия
4. Если теней не было и создалась точка восстановления - событие попадает в лог, и это уже шумно
🔍 Обнаружение:
Аудит доступа к
🔗 https://github.com/ivancabrera02/SrHollow
#redteam #pentest #windows #edr #dfir #tools
Очередной дампер секретов Windows, но с необычным вектором: он вообще не открывает процесс
lsass.exe. Кусты SECURITY и SYSTEM вытягиваются из теневой копии тома - того же VSS, которым пользуются штатные бэкапы - и расшифровываются в userland.Автор заявляет, что SentinelOne (S1) не срабатывает. Если в энгейджменте классические дамперы уже горят на EDR - стоит держать в наборе.
📖 Как работает:
1. Перечисляет объекты через
NtOpenDirectoryObject, выбирает старшую теневую копию HarddiskVolumeShadowCopyN2. Если теней нет - создает точку восстановления вызовом
SRSetRestorePointW3. Включает
SeBackupPrivilege в текущем токене4. Читает
SECURITY и SYSTEM из тени через CreateFileW с флагом FILE_FLAG_BACKUP_SEMANTICS 5. Парсит формат regf своим кодом и выводит BootKey и LSA-ключ
6. Расшифровывает все секреты AES-256 через
bcrypt.dll📦 Под капотом:
Один C#-файл на ~350 строк без внешних зависимостей плюс 4 стадии на PowerShell. Компилируется на месте через Add-Type или csc.exe, на диск ничего своего не кладет
🛡 Применение:
Пост-эксплуатация на Windows при локальном админе: пароли служб, кэш доменных логинов, ключи DPAPI для дальнейшего разбора credential stores
⚠️ Ограничения:
1. Нужен локальный админ - без
SeBackupPrivilege ничего не выйдет2. Нужна запускаемая служба VSS
3. Заявка про SentinelOne - результат проверки на одном стенде, не гарантия
4. Если теней не было и создалась точка восстановления - событие попадает в лог, и это уже шумно
🔍 Обнаружение:
Аудит доступа к
C:\Windows\System32\config\SECURITY и SYSTEM от powershell.exe (4663), включение SeBackupPrivilege в не-бэкапном процессе, создание точки восстановления вне окна обновлений. Имена стадий Stage1-Recon.ps1, Stage1b-ReadShadowHives.ps1, Stage2-Decrypt.ps1, Stage3-Report.ps1 - готовые IOC🔗 https://github.com/ivancabrera02/SrHollow
#redteam #pentest #windows #edr #dfir #tools
`🔥2👍1