Lockbit3.0-MpClient-Defender-PoC

Lockbit3.0 Microsoft Defender MpClient.dll — PoC de détournement de DLL

Basé sur : le rançongiciel LockBit abuse de Windows Defender pour charger Cobalt Strike

https://www.bleepingcomputer.com/news/security/lockbit-ransomware-abuses-windows-defender-to-load-cobalt-strike/

Comment tester par vous-même

• Créez un nouveau répertoire, copiez C:\Program Files\Windows Defender\MpCmdRun.exe ou C:\Program Files\Windows Defender\NisSrv.exe dans ce nouveau répertoire
• Copiez mpclient-mpcmdrun.dll ou mpclient-nissrv.dll (selon le binaire que vous souhaitez tester) et renommez la DLL mpclient.dll.
• Exécutez l'exécutable.

Comment compiler

• Installez https://releases.llvm.org/download.html
• Redémarrez votre ordinateur

Si vous souhaitez essayer MpCmdRun.exe :

clang++ dllmain-mpcmdrun.cpp -o mpclient.dll -shared

Si vous souhaitez essayer NisSrv.exe :

clang++ dllmain-NisSrv.cpp -o mpclient.dll -shared

Règle Yara

Consultez le fichier lockbit3mpclientdefender.yar