Lockbit3.0-MpClient-Defender-PoC

Lockbit3.0 Microsoft Defender MpClient.dll DLL ハイジャック PoC

参考: LockBit ランサムウェアが Windows Defender を悪用して Cobalt Strike を読み込む

https://www.bleepingcomputer.com/news/security/lockbit-ransomware-abuses-windows-defender-to-load-cobalt-strike/

自分でテストする方法

• 新しいディレクトリを作成し、その新しいディレクトリに C:\Program Files\Windows Defender\MpCmdRun.exe または C:\Program Files\Windows Defender\NisSrv.exe をコピーします
• mpclient-mpcmdrun.dll または mpclient-nissrv.dll（テストしたいバイナリによって異なります）をコピーし、その dll を mpclient.dll にリネームします。
• 実行可能ファイルを実行します。

コンパイル方法

• https://releases.llvm.org/download.html からインストールします
• コンピューターを再起動します

MpCmdRun.exe を試したい場合:

clang++ dllmain-mpcmdrun.cpp -o mpclient.dll -shared

NisSrv.exe を試したい場合:

clang++ dllmain-NisSrv.cpp -o mpclient.dll -shared

Yara ルール

lockbit3mpclientdefender.yar ファイルを確認してください。