LSASS Dump Detection Forensics

Définition

La détection du dumping de LSASS (Local Security Authority Subsystem Service) est une compétence forensique critique car lsass.exe est le processus Windows qui maintient en mémoire les credentials des utilisateurs connectés (hashs NTLM, tickets Kerberos, mots de passe en clair dans certaines configurations). Son dumping est l'une des techniques de credential theft les plus utilisées par les attaquants après une intrusion. LSASS maintient les credentials des utilisateurs interactifs dans des structures en mémoire accessibles via les Security Support Providers (SSPs). Des outils comme Mimikatz (sekurlsa::logonpasswords) lisent directement cette mémoire pour extraire les credentials. D'autres méthodes incluent : la création d'un minidump de lsass.exe (comsvcs.dll, procdump, ou le Task Manager natif), l'utilisation de ProcDump (Sysinternals : procdump.exe -accepteula -ma lsass.exe lsass.dmp), et des techniques d'évasion via des processus tiers (création d'un handle vers lsass depuis un processus approuvé). Les artefacts forensiques du dumping LSASS incluent : Sysmon EventID 10 (ProcessAccess) avec TargetImage=lsass.exe et des flags d'accès comme 0x1fffff (PROCESS_ALL_ACCESS) ou une combinaison de PROCESS_VM_READ + PROCESS_QUERY_INFORMATION depuis des processus non-Microsoft non attendus. L'EventID 4656 (Handle to LSASS object requested) avec des AccessMask spécifiques révèle également des accès lsass suspects. Windows Credential Guard (disponible depuis Windows 10) protège les credentials en déplaçant les clés vers un environnement virtualisé isolé (Hyper-V VTL1), rendant le dumping LSASS classique inefficace. Le Protected Process Light (PPL) pour lsass.exe (activé via le registre ou Credential Guard) empêche les processus non-signés Microsoft d'ouvrir des handles avec accès mémoire vers lsass.exe. La détection du dumping LSASS peut aussi utiliser des IOCs comportementaux : la création de fichiers .dmp dans des répertoires temporaires suivie immédiatement d'un accès depuis un processus inconnu, ou l'utilisation de comsvcs.dll avec la fonction MiniDump (commande rundll32 C:\Windows\System32\comsvcs.dll MiniDump lsass.dmp full).