Lockbit3.0-MpClient-Defender-PoC

Lockbit3.0 Microsoft Defender MpClient.dll DLL 하이재킹 PoC

기반: LockBit 랜섬웨어가 Windows Defender를 악용해 Cobalt Strike를 로드함

https://www.bleepingcomputer.com/news/security/lockbit-ransomware-abuses-windows-defender-to-load-cobalt-strike/

직접 테스트하는 방법

• 새 디렉터리를 만들고 C:\Program Files\Windows Defender\MpCmdRun.exe 또는 C:\Program Files\Windows Defender\NisSrv.exe를 이 새 디렉터리에 복사합니다.
• mpclient-mpcmdrun.dll 또는 mpclient-nissrv.dll(테스트하려는 바이너리에 따라 다름)을 복사하고 DLL 이름을 mpclient.dll로 바꿉니다.
• 실행 파일을 실행합니다.

컴파일하는 방법

• https://releases.llvm.org/download.html 설치
• 컴퓨터를 다시 시작합니다.

MpCmdRun.exe를 테스트하려면:

clang++ dllmain-mpcmdrun.cpp -o mpclient.dll -shared

NisSrv.exe를 테스트하려면:

clang++ dllmain-NisSrv.cpp -o mpclient.dll -shared

Yara 규칙

lockbit3mpclientdefender.yar 파일을 확인하세요.