Lockbit3.0-MpClient-Defender-PoC

Lockbit3.0 Microsoft Defender MpClient.dll إثبات مفهوم لاختطاف DLL

بناءً على: برنامج الفدية LockBit يسيء استخدام Windows Defender لتحميل Cobalt Strike

https://www.bleepingcomputer.com/news/security/lockbit-ransomware-abuses-windows-defender-to-load-cobalt-strike/

كيفية الاختبار بنفسك

• أنشئ دليلاً جديداً، وانسخ C:\Program Files\Windows Defender\MpCmdRun.exe أو C:\Program Files\Windows Defender\NisSrv.exe في هذا الدليل الجديد
• انسخ mpclient-mpcmdrun.dll أو mpclient-nissrv.dll (اعتماداً على الملف الثنائي الذي تريد اختباره) وأعد تسمية ملف الـ dll إلى mpclient.dll.
• شغّل الملف التنفيذي.

كيفية التجميع

• ثبّت https://releases.llvm.org/download.html
• أعد تشغيل جهاز الكمبيوتر الخاص بك

إذا كنت تريد تجربة MpCmdRun.exe:

clang++ dllmain-mpcmdrun.cpp -o mpclient.dll -shared

إذا كنت تريد تجربة NisSrv.exe:

clang++ dllmain-NisSrv.cpp -o mpclient.dll -shared

قاعدة Yara

تحقق من الملف lockbit3mpclientdefender.yar