مقاله‌ای با عنوان «حالت مخفی: دامپ LSASS بدون ردپا»
این مقاله به تکنیکی پیشرفته برای استخراج حافظه فرآیند LSASS در سیستم‌های ویندوزی می‌پردازد که به مهاجمان امکان می‌دهد اطلاعات حساس مانند رمزهای عبور و هش‌ها را به‌دست آورند، بدون اینکه توسط راه‌حل‌های امنیتی شناسایی شوند.
در این مقاله، نویسنده با استفاده از PowerShell و تکنیک‌های خاصی مانند بازتاب حافظه (Memory Reflection)، دسترسی حداقلی به فرآیندها و رمزنگاری داده‌ها، روشی را برای استخراج حافظه LSASS معرفی می‌کند. این روش شامل مراحل زیر است:
شناسایی پراسس LSASS:
با استفاده از دستورات PowerShell، فرآیند LSASS به‌طور مخفیانه شناسایی می‌شود.
دسترسی با حداقل مجوزها:
به‌جای استفاده از دسترسی‌های کامل که ممکن است توسط نرم‌افزارهای امنیتی شناسایی شود، از مجوزهای محدود برای دسترسی به حافظه فرآیند استفاده می‌شود.
دامپ حافظه با استفاده از بازتاب درون‌حافظه‌ای:
با تعریف پویا و درون‌حافظه‌ای توابع API مورد نیاز، از شناسایی توسط ابزارهای امنیتی جلوگیری می‌شود.
استخراج و رمزنگاری فایل دامپ:
داده‌های استخراج‌شده قبل از ذخیره‌سازی، به‌صورت Base64 رمزنگاری می‌شوند تا از شناسایی توسط نرم‌افزارهای امنیتی جلوگیری شود.
فشرده‌سازی، انتقال و حذف آثار:
فایل رمزنگاری‌شده فشرده شده و پس از انتقال، تمامی ردپاها از سیستم حذف می‌شوند.
این تکنیک‌ها به مهاجمان امکان می‌دهند تا بدون شناسایی توسط نرم‌افزارهای امنیتی، به اطلاعات حساس سیستم دسترسی پیدا کنند.
برای مطالعه دقیق‌تر و مشاهده جزئیات فنی، می‌توانید به مقاله اصلی در لینک زیر مراجعه کنید:
#آکادمی_روزبه
https://mrvar0x.com/2025/02/16/stealth-mode-dumping-lsass-without-a-trace/
این مقاله به تکنیکی پیشرفته برای استخراج حافظه فرآیند LSASS در سیستم‌های ویندوزی می‌پردازد که به مهاجمان امکان می‌دهد اطلاعات حساس مانند رمزهای عبور و هش‌ها را به‌دست آورند، بدون اینکه توسط راه‌حل‌های امنیتی شناسایی شوند.
در این مقاله، نویسنده با استفاده از PowerShell و تکنیک‌های خاصی مانند بازتاب حافظه (Memory Reflection)، دسترسی حداقلی به فرآیندها و رمزنگاری داده‌ها، روشی را برای استخراج حافظه LSASS معرفی می‌کند. این روش شامل مراحل زیر است:
شناسایی پراسس LSASS:
با استفاده از دستورات PowerShell، فرآیند LSASS به‌طور مخفیانه شناسایی می‌شود.
دسترسی با حداقل مجوزها:
به‌جای استفاده از دسترسی‌های کامل که ممکن است توسط نرم‌افزارهای امنیتی شناسایی شود، از مجوزهای محدود برای دسترسی به حافظه فرآیند استفاده می‌شود.
دامپ حافظه با استفاده از بازتاب درون‌حافظه‌ای:
با تعریف پویا و درون‌حافظه‌ای توابع API مورد نیاز، از شناسایی توسط ابزارهای امنیتی جلوگیری می‌شود.
استخراج و رمزنگاری فایل دامپ:
داده‌های استخراج‌شده قبل از ذخیره‌سازی، به‌صورت Base64 رمزنگاری می‌شوند تا از شناسایی توسط نرم‌افزارهای امنیتی جلوگیری شود.
فشرده‌سازی، انتقال و حذف آثار:
فایل رمزنگاری‌شده فشرده شده و پس از انتقال، تمامی ردپاها از سیستم حذف می‌شوند.
این تکنیک‌ها به مهاجمان امکان می‌دهند تا بدون شناسایی توسط نرم‌افزارهای امنیتی، به اطلاعات حساس سیستم دسترسی پیدا کنند.
برای مطالعه دقیق‌تر و مشاهده جزئیات فنی، می‌توانید به مقاله اصلی در لینک زیر مراجعه کنید:
#آکادمی_روزبه
https://mrvar0x.com/2025/02/16/stealth-mode-dumping-lsass-without-a-trace/
Comments
Be the first to add a comment
Log in to comment