backdoorskid/win-def-clickfixماسح ضوئي يقدّر ما إذا كان Microsoft Defender مرجّحًا أن يضع علامة على أمر ما بوصفه ClickFix.
win-def-clickfix هو نسخة كشف مطابقة لسطور أوامر ClickFix / Win+R، أُعيد بناؤه عبر الهندسة العكسية لملف mpengine.dll الخاص بـ Microsoft Defender.
يقوم بتمرير سطر أوامر عبر المُطبِّع/مُزيل التشويش المُستعاد (FUN_1800a2500) ويطابقه مقابل 807 توقيعات CMDHSTR_EXT المستخرجة من VDM، مُقيَّمة بمنطق condition: الحقيقي الخاص بها.
كما يوفّر الشبكة العصبية BMClientV1 المستخرجة — وهي GRU ذات حالة — تُنفَّذ بـ numpy خالص، إلى جانب ماسحات للمسارات الأخرى المُستعادة في المحرك (AMSI، AMSI-UAC، RPF/JIT، WMI، مضيفات السكربتات، تشويش اللصق).
