Procdump y lsass.exe
En esta parte vamos a ver algunas herramientas las cuales hacen el mismo funcionamiento que mimikatz pero sin ser detectado por el Windows Defender ya que mimikatz al ser una herramienta tan famosa, hay mas nivel de proteccion respecto a dicha herramienta.
Pero lo que podemos hacer es realizar un volcado de memoria de la maquina, y esto llevarlo a nuestro host, una vez estando en nuestro host, podremos utilizar mimikatz para extraer credenciales, hashes, etc...
El proceso que se encarga de gestionar el logon de los usuario en el sistema operativo, que administra estas contraseñas, estos hashes, etc... Es el proceso lsass por lo tanto vamos a intentar hacer un dump de la memoria que tiene este proceso que se esta ejecutando ahora mismo.
La herramienta que utilizaremos para esto sera la llamada ProcDump una herramienta oficial de Windows:
URL = Documentacion de ProcDump
URL = Download ProcDump
Abriremos un cmd como administrador (Como si ya hubieramos comprometido la maquina siendo admins) y nos iremos a la carpeta donde esta la herramienta ProcDump:
Y ahora realizaremos el volcado del proceso lsass.exe de la siguiente forma:
Info:
Y con esto ya nos habria generado el fichero lsass.dmp el cual nos tendremos que llevar a nuestro kali para utilizar mimikatz.
Last updated