Lockbit3.0-MpClient-Defender-PoC

Lockbit3.0 Microsoft Defender MpClient.dll DLL Hijacking PoC

Basato su: il ransomware LockBit abusa di Windows Defender per caricare Cobalt Strike

https://www.bleepingcomputer.com/news/security/lockbit-ransomware-abuses-windows-defender-to-load-cobalt-strike/

Come testare da soli

• Crea una nuova directory, copia C:\Program Files\Windows Defender\MpCmdRun.exe o C:\Program Files\Windows Defender\NisSrv.exe in questa nuova directory
• Copia mpclient-mpcmdrun.dll o mpclient-nissrv.dll (a seconda del binario che vuoi testare) e rinomina la dll in mpclient.dll.
• Esegui l'eseguibile.

Come compilare

• Installa https://releases.llvm.org/download.html
• Riavvia il computer

Se vuoi provare MpCmdRun.exe:

clang++ dllmain-mpcmdrun.cpp -o mpclient.dll -shared

Se vuoi provare NisSrv.exe:

clang++ dllmain-NisSrv.cpp -o mpclient.dll -shared

Regola Yara

Controlla il file lockbit3mpclientdefender.yar