criPPLe

プロセス保護（PP）およびプロセス保護ライト（PPL）を削除するWindowsカーネルドライバ。

これはZero-Point Securityの"Offensive Driver Developmentコース"の助けを借りて作成されました

このカーネルドライバは、指定されたpidからプロセス保護を削除します。プロセスのPS_PROTECTION構造体へのポインタを取得し、これらの値を0に設定します。

   _PS_PROTECTION

   +0x000 Level            : UChar
   +0x000 Type             : Pos 0, 3 Bits
   +0x000 Audit            : Pos 3, 1 Bit
   +0x000 Signer           : Pos 4, 4 Bits

さらに、このカーネルドライバは、プロセスのPS_PROTECTION構造体の値をニーズに合った値に設定することで、プロセスを保護状態にすることもできます。

用途

• PPはPPLよりも優れていることに注意してください。PPはPPLへの完全なアクセスを取得できますが、その逆は決してできません。プロセス保護をターゲットよりも高い保護レベルに設定できます。これは非常に有用です。

• コースで述べられているように、これを使用してlsass.exeからプロセス保護ライト（PPL）を無効化し、mimikatzがその役割を果たせるようにすることができます。

• 個人的には、csrss.exeからプロセス保護ライト（PPL）を無効化するためにこれを使用しました（他の保護されたプロセスをテストするため）。

• まだ少ししか試していませんが、これまでのところ、同じく（PPL）プロセスであるMsMpEng.exe（Microsoft Malware Protection Engine）のpidを送信するのも良いアイデアかもしれません。様子を見てみます...