MITRE ATT&CK T1003.001 è la tecnica per il dumping delle credenziali del sistema operativo dalla memoria di LSASS su Windows. LSASS (Local Security Authority Subsystem Service) memorizza ed elabora il materiale di autenticazione, quindi gli aggressori cercano di leggere la sua memoria per recuperare password, hash, ticket o dati di token riutilizzabili. Si tratta di un obiettivo comune dopo una compromissione perché può trasformare un singolo punto d'appoggio in un movimento laterale più ampio e nell'escalation dei privilegi.
Negli attacchi reali, T1003.001 spesso si manifesta come accesso sospetto a lsass.exe, injection in LSASS, uso di API di debug o di dump, oppure creazione di dump di memoria per l'analisi offline. I difensori monitorano questi comportamenti con EDR, avvisi di accesso ai processi e controlli di hardening degli endpoint come la protezione LSA, Credential Guard e le regole di riduzione della superficie d'attacco. La tecnica è importante perché descrive un noto schema di tradecraft, non una singola famiglia di malware, quindi il rilevamento deve concentrarsi sul comportamento e sulle protezioni del sistema, non solo sulle firme dei file.