Давайте немного о OS Credential Dumping. Ресерчеры из SpecterOps показали инструмент для дампа кредов из памяти процесса LSASS через протокол WMI 🕺
В чем фича кэп? Нет взаимодействия с классом Win32_Process который палит любой приличный EDR - стильно, модно, молодежно!
🛡 Detection
event.code: 11 and file.path: *Windows\\Temp* and file.extension: dmp
Создание .dmp файла в Temp директории Windows
event.code: 5145 and winlog.event_data.ShareName: *.dmp
Эксфильтрация дампа через SMB шару
💻 Repo: https://github.com/0xthirteen/WMI_Proc_Dump
📖 Research: https://specterops.io/blog/2025/09/18/more-fun-with-wmi/
🧢 s0ld13r