criPPLe

Driver de kernel para Windows que remove a Proteção de Processo (PP) e a Proteção de Processo Light (PPL).

Isto foi feito com a ajuda do curso "Offensive Driver Development" da Zero-Point Security

Este driver de kernel remove a proteção de processo de um pid específico, obtém um ponteiro para a estrutura PS_PROTECTION do processo e define estes valores como 0.

   _PS_PROTECTION

   +0x000 Level            : UChar
   +0x000 Type             : Pos 0, 3 Bits
   +0x000 Audit            : Pos 3, 1 Bit
   +0x000 Signer           : Pos 4, 4 Bits

Da mesma forma, este driver de kernel também pode tornar um processo protegido, definindo os valores da estrutura PS_PROTECTION do processo para aqueles que atendam às suas necessidades

Utilizações

• Note que PP é superior a PPL, qualquer PP pode obter acesso total a uma PPL, nunca o contrário. Pode definir a proteção do seu processo para um nível de proteção superior ao do seu alvo, isto pode ser muito útil

• Conforme indicado no curso, pode usar isto para desativar a Proteção de Processo Light (PPL) do lsass.exe e permitir que o mimikatz faça o seu trabalho

• Pessoalmente, usei isto para desativar a Proteção de Processo Light (PPL) do csrss.exe (para testar outros processos protegidos)

• Ainda só brinquei com isto por pouco tempo, mas até agora penso que talvez enviar o pid do MsMpEng.exe (Microsoft Malware Protection Engine), que também é outro processo (PPL), possa ser uma boa ideia... veremos