backdoorskid/win-def-clickfixEin Scanner, der abschätzt, ob Microsoft Defender einen Befehl wahrscheinlich als ClickFix markiert.
win-def-clickfix ist eine Detection-Replika für ClickFix / Win+R-Kommandozeilen, nachgebaut durch Reverse-Engineering von Microsoft Defenders mpengine.dll.
Es führt eine Kommandozeile durch den wiederhergestellten Normalizer/Deobfuscator (FUN_1800a2500) und gleicht sie mit den 807 aus VDM extrahierten CMDHSTR_EXT-Signaturen ab, die mit ihrer echten condition:-Logik ausgewertet werden.
Es enthält außerdem das extrahierte neuronale Netz BMClientV1 — ein zustandsbehaftetes GRU — ausgeführt in reinem numpy, zusammen mit Scannern für die anderen wiederhergestellten Pfade der Engine (AMSI, AMSI-UAC, RPF/JIT, WMI, Skript-Hosts, Paste-Obfuskation).
