criPPLe

Controlador de kernel de Windows que elimina la Protección de Procesos (PP) y la Protección de Procesos Light (PPL).

Esto fue creado con la ayuda del "Curso de Desarrollo de Controladores Ofensivos" de Zero-Point Security

Este controlador de kernel elimina la protección de procesos de un pid determinado; obtiene un puntero a la estructura PS_PROTECTION del proceso y establece estos valores en 0.

   _PS_PROTECTION

   +0x000 Level            : UChar
   +0x000 Type             : Pos 0, 3 Bits
   +0x000 Audit            : Pos 3, 1 Bit
   +0x000 Signer           : Pos 4, 4 Bits

Además, este controlador de kernel también puede hacer que un proceso esté protegido estableciendo los valores de la estructura PS_PROTECTION del proceso a aquellos que se adapten a tus necesidades

Usos

• Ten en cuenta que PP es superior a PPL; cualquier PP puede obtener acceso completo a una PPL, nunca al revés. Puedes establecer la protección de tu proceso a un nivel de protección más alto que el de tu objetivo; esto podría ser muy útil

• Como se indica en el curso, puedes usar esto para deshabilitar la Protección de Procesos Light (PPL) de lsass.exe y permitir que mimikatz haga su trabajo

• Personalmente, usé esto para deshabilitar la Protección de Procesos Light (PPL) de csrss.exe (para probar otros procesos protegidos)

• Solo he jugado con esto por un poco de tiempo, pero hasta ahora creo que quizás enviar el pid de MsMpEng.exe (Motor de Protección contra Malware de Microsoft), que también es otro proceso (PPL), podría ser una buena idea; ya veré...