Dump LSASS bypasses defender

[Johny]

​

 ​

Dump LSASS​

 

[Johny]

​

 

[Johny]

​

 ​

Defender whitelists the path, so any application running from c:\Windows\Temp\cr0czrap\Extract\TrolleyExpress.exe is allowed to dump lsass 

 ​

 

[Johny]

​

 

[Johny]

​

 

[Johny]

​

 

[Johny]

​

 

[Johny]

 

[Johny]

​

 

[Johny]

​

 

[Johny]

 

[Johny]

Отдаю бесплатно метод дампа любого защищенного процесса, по крайней мере это было актуально год-полтора назад, Сентинел, Софос, Каспер, Крауд обходил без проблем не смотря на MiniDumpWriteDump, сейчас не знаю, давно не пользовались. (Убрано все лишнее из исходников) Так же где то был BOF под кобу и хавк. Если найду то скину сюда. При сильном желании адтоптировать в BOF из исходников не составит труда.
 
Запуск от админа:тыц

sc.exe create навзание binPath= "путь к драйверу" type= kernel
sc.exe start название

dmp.exe lsass.exe C:\tmp.bin

 

 

[DataSQL]

Хорошее видео, теперь стало все намного яснее. Теперь буду знать как правильно настроить