backdoorskid/win-def-clickfixMicrosoft Defender가 명령을 ClickFix로 플래그 지정할 가능성이 있는지 추정하는 스캐너입니다.
win-def-clickfix는 Microsoft Defender의 mpengine.dll을 리버스 엔지니어링하여 재구축한 ClickFix / Win+R 명령줄 탐지 복제본입니다.
복원된 정규화/난독화 해제기(FUN_1800a2500)를 통해 명령줄을 실행하고, VDM에서 추출한 807개의 CMDHSTR_EXT 시그니처와 대조하며, 실제 condition: 로직으로 평가합니다.
또한 추출된 BMClientV1 신경망(상태를 가진 GRU)을 순수 numpy로 실행하며, 엔진의 다른 복원 경로(AMSI, AMSI-UAC, RPF/JIT, WMI, 스크립트 호스트, 붙여넣기 난독화)를 위한 스캐너도 함께 제공합니다.
