
PoC de secuestro de DLL de Lockbit3.0 Microsoft Defender MpClient.dll
PoC de secuestro de DLL de MpClient.dll de Microsoft Defender de Lockbit3.0
Basado en: LockBit ransomware abusa de Windows Defender para cargar Cobalt Strike
C:\Program Files\Windows Defender\MpCmdRun.exe o C:\Program Files\Windows Defender\NisSrv.exe en este nuevo directoriompclient-mpcmdrun.dll o mpclient-nissrv.dll (dependiendo del binario que quieras probar) y renombra la dll a mpclient.dll.Si quieres probar MpCmdRun.exe:
clang++ dllmain-mpcmdrun.cpp -o mpclient.dll -shared
Si quieres probar NisSrv.exe:
clang++ dllmain-NisSrv.cpp -o mpclient.dll -shared
Comprueba el archivo lockbit3mpclientdefender.yar