https://cyberveille.ch/tags/dumpert/ Recent content in Dumpert on CyberVeille Hugo -- 0.146.0 fr-fr Cyberveille CC BY-NC-SA 4.0 Sun, 27 Sep 2026 00:00:00 +0200 https://cyberveille.ch/posts/2026-09-27-memguard-outil-open-source-python-de-protection-lsass-et-detection-de-dump-de-credentials/ Sun, 27 Sep 2026 00:00:00 +0200 https://cyberveille.ch/posts/2026-09-27-memguard-outil-open-source-python-de-protection-lsass-et-detection-de-dump-de-credentials/ <h2 id="-contexte">🛡️ Contexte</h2> <p>Publié le 27 septembre 2026 sur GitHub par un lycéen turc (@prox0959, Çınar), <strong>MemGuard</strong> est un outil défensif open-source sous licence MIT, conçu pour protéger le processus <strong>lsass.exe</strong> contre les techniques de credential dumping sur les systèmes Windows 10/11.</p> <h2 id="-fonctionnement-technique">⚙️ Fonctionnement technique</h2> <p>L&rsquo;outil repose exclusivement sur des appels natifs Win32/NT kernel via <code>ctypes</code>, sans aucune dépendance tierce. Il implémente quatre mécanismes de détection :</p> <ul> <li><strong>Énumération des handles NT</strong> : utilise <code>NtQuerySystemInformation</code> (classe 64 — <code>SystemExtendedHandleInformation</code>) pour auditer tous les handles ouverts sur <code>lsass.exe</code> à l&rsquo;échelle du système</li> <li><strong>Analyse des masques d&rsquo;accès</strong> : décode le champ <code>GrantedAccess</code> 32 bits et alerte sur <code>PROCESS_VM_READ</code> (0x0010), <code>PROCESS_ALL_ACCESS</code> (0x1FFFFF), <code>PROCESS_VM_WRITE</code> (0x0020), etc.</li> <li><strong>Lecture PEB en mémoire</strong> : inspecte la ligne de commande des processus via <code>NtQueryInformationProcess</code> + <code>ReadProcessMemory</code> pour détecter les invocations LOLBin (<code>comsvcs.dll MiniDump</code>, <code>procdump -ma</code>)</li> <li><strong>Scan d&rsquo;artefacts de dump</strong> : détecte les fichiers <code>.dmp</code> valides (en-tête MDMP) dans les répertoires de triage</li> </ul> <h2 id="-menaces-couvertes">🚨 Menaces couvertes</h2> <ul> <li>Accès direct à la mémoire LSASS via <strong>Mimikatz</strong>, <strong>Dumpert</strong>, <strong>NanoDump</strong></li> <li>LOLBins : <code>rundll32.exe comsvcs.dll MiniDump</code> et <code>procdump.exe -ma lsass.exe</code></li> <li>Duplication de handles depuis des services privilégiés</li> </ul> <h2 id="-modes-dutilisation">🔧 Modes d&rsquo;utilisation</h2> <ul> <li><code>--scan</code> : audit ponctuel</li> <li><code>--monitor --interval N</code> : surveillance continue</li> <li><code>--suspend</code> : gel actif du processus offensif via <code>NtSuspendProcess</code></li> <li><code>--json</code> : export de rapport forensique</li> <li><code>--lang tr</code> : support bilingue anglais/turc</li> </ul> <h2 id="-positionnement">📌 Positionnement</h2> <p>Cet article est la documentation technique d&rsquo;un <strong>nouvel outil défensif open-source</strong>. Il vise à fournir une alternative gratuite aux solutions EDR commerciales (CrowdStrike Falcon, SentinelOne) pour la protection contre la technique <strong>MITRE ATT&amp;CK T1003.001</strong>.</p>