LSASS belleğine erişim
lsass.exe oturum açmış kullanıcıların kimlik bilgilerini tutar; belleğini okumak bu bilgileri çalmanın yaygın bir yoludur. Beş kayıt bunu gösteriyor: PowerShell'den çalıştırılan iki bellek içi kimlik bilgisi dökümü, comsvcs.dll MiniDump ile alınan bir döküm, doğrudan sistem çağrılarıyla döküm alan bir araç ve Görev Yöneticisi'nden oluşturulan bir döküm. Birçok meşru program da lsass.exe'yi açar: servisler, kurulum programları, güncelleme ajanları. Beş dökümün erişimlerini bulun.
İpucu 1
GrantedAccess, sürecin istediği erişim maskesidir. Dökümlerin maskelerini verideki kurulum programları ve güncelleme ajanlarınınkilerle karşılaştırın.
İpucu 2
CallTrace, erişim anında yığındaki modülleri listeler. UNKNOWN, yüklü bir modüle ait olmayan kod demektir.
Kural bu tarayıcıda çalışır; geri döndüğünüzde bulmanız için burada saklanır.
Olaylar
4.359 olay. Arama yalnızca tabloyu süzer, sonucu etkilemez.