Al ser un operador de seguridad ofensivo, es crucial evadir las medidas de protección implementadas en los sistemas Windows y extraer con éxito procesos seguros de la memoria, como LSASS.exe. Las herramientas defensivas integradas en Windows y las proporcionadas por los proveedores de productos de seguridad mejoran continuamente. En consecuencia, los profesionales del equipo rojo deben desarrollar nuevas herramientas o modificar en gran medida las existentes para contrarrestar estas herramientas y técnicas de defensa en evolución.

Existe una nueva herramienta llamada PPLBlade, que es una herramienta de volcado de memoria de procesos para evitar PPL y evitar detecciones, desarrollada por pepperoni en el siguiente repositorio de Github: https://github.com/tastypepperoni/PPLBlade

Esta es simplemente una herramienta de volcado de procesos protegidos que admite la ofuscación de volcados de memoria, como los volcados de procesos LSASS, y facilita la transferencia de archivos de volcado a máquinas remotas sin la necesidad de guardarlos en el disco.

Estaba interesado en experimentar con este programa para evaluar su eficacia a la hora de extraer credenciales de un proceso LSASS seguro, evadiendo Windows Defender.

Capacidades de PPLBlade mencionadas por el autor:

1. Omitir la protección PPL de Windows
2. Ofuscar archivos de volcado de memoria para evadir los mecanismos de detección basados ​​en firmas de Defender
3. Cargar archivos de volcado de memoria con métodos de carga RAW y SMB sin escribirlo en el disco