Dump della Memoria LSASS: LSASS Memory (T1003.001)
Il processo Local Security Authority Subsystem Service (LSASS) è il cuore dell'autenticazione Windows: al suo interno risiedono hash NTLM, ticket Kerberos, credenziali WDigest in chiaro (quando abilitate), PIN di smart card e segreti gestiti dai Security Support Provider. Un attaccante con privilegi amministrativi o SYSTEM che riesce ad accedere allo spazio di memoria di lsass.exe può estrarre materiale di autenticazione utilizzabile per movimento laterale tramite Pass-the-Hash, Pass-the-Ticket o riutilizzo diretto di password in chiaro.
La tecnica appartiene alla tattica TA0006 (Credential Access) e si colloca nella fase Credential Access della kill chain, tipicamente dopo Initial Access ed Execution e prima di Lateral Movement. È fra le sotto-tecniche più abusate in assoluto: MITRE ATT&CK ne documenta l'uso da parte di 42 gruppi APT, 26 famiglie di software offensivo e 7 campagne di rilievo, da Operation Wocao all'attacco al sistema elettrico ucraino del 2016, fino alla campagna Cutting Edge del 2024 e allo sfruttamento delle vulnerabilità SharePoint ToolShell del 2025.
L'impatto operativo è severo: un singolo dump di LSASS su un domain controller può compromettere l'intero dominio Active Directory, con escalation potenziale fino a Golden Ticket. Le sette mitigazioni MITRE documentate — da Credential Guard al RunAsPPL — riducono la superficie ma non eliminano la minaccia, motivo per cui la detection comportamentale rimane centrale.
In un ingaggio red team la scelta della tecnica di dump dipende dal livello di controlli endpoint presenti. In un laboratorio con Windows 10/11 patchato ma senza EDR aggressivo, il percorso classico resta ProcDump dei Sysinternals (gratuito): procdump.exe -accepteula -ma lsass.exe lsass.dmp produce un minidump completo che si esfiltra e si analizza offline con Mimikatz (open source) tramite sekurlsa::minidump lsass.dmp seguito da sekurlsa::logonpasswords. Il vantaggio è che ProcDump è firmato Microsoft e passa molti controlli di reputation.
Quando la telemetria monitora l'apertura di handle verso LSASS da binari non attesi, si passa a tecniche living-off-the-land. Il metodo comsvcs.dll è ormai un classico: rundll32.exe C:\Windows\System32\comsvcs.dll, MiniDump <PID_LSASS> C:\Windows\Temp\out.dmp full, dove il PID si ottiene con tasklist /fi "imagename eq lsass.exe". L'operazione richiede SeDebugPrivilege e viene eseguita da rundll32, riducendo — ma non eliminando — l'attribuzione al processo offensivo.
Alternative più evasive sfruttano API dirette. SILENTTRINITY (open source) e Cobalt Strike (a pagamento) implementano chiamate a MiniDumpWriteDump da moduli in-memory, evitando la scrittura di tool su disco. Sliver (open source) include un comando procdump nativo verso lsass.exe. Per scenari più sofisticati, tecniche come il silent process exit via chiavi ImageFileExecutionOptions di WerFault permettono di generare il dump attraverso Windows Error Reporting, mascherandolo come crash legittimo.
Un secondo filone è la persistenza tramite Security Support Provider malevoli: aggiungendo una DLL alla chiave HKLM\SYSTEM\CurrentControlSet\Control\Lsa\Security Packages si ottiene caricamento in LSASS al boot successivo, con accesso continuo alle credenziali. Mimikatz automatizza l'installazione via misc::memssp.
Sul fronte credential harvesting più ampio, LaZagne (open source), Windows Credential Editor e Impacket secretsdump.py (open source) coprono scenari complementari: LaZagne per credenziali applicative locali, secretsdump per dump remoti via SMB/RPC senza toccare LSASS direttamente (secretsdump.py DOMAIN/user:pass@target). In laboratori con Credential Guard attivo, molte di queste tecniche degradano: WDigest è vuoto, i segreti NTLM sono isolati in VBS. Valutare sempre la baseline di hardening prima di pianificare il vettore.
Vuoi diventare un Ethical Hacker ma non sai da dove iniziare?
Accedi alle lezioni gratuite e segui il percorso corretto fin dal primo passo
2 minuti · 7 domande
Che professionista cyber sei?
Scopri il profilo più vicino al tuo modo di pensare e inizia dal percorso giusto.