$ Get-FileHash -Algorithm MD5 -Path (Get-ChildItem "E:\EFI\Microsoft\Boot*.*" -Recurse)

Presença do diretório de preparação

Verifica a presença histórica de arquivos excluídos em um diretório personalizado, como ESP:\system32
O diretório não é excluído após a instalação do BalckLotus.

Verifica a integridade do HVCI (se existir)

$ reg query HKLM\SYSTEM\CurrentControlSet\Control\DeviceGuard\Scenarios\HypervisorEnforcedCodeIntegrity

Verifica eventos específicos do Windows Defender (adulteração do Defender)

$ Get-EventLog -LogName System -InstanceId 3006

$ Get-EventLog -LogName System -InstanceId 7023

Verifica conexão ao servidor C2 via winlogon.exe porta 80

$ netstat -ano | findstr ":80"

$ tasklist /V | findstr "winlogon.exe"

Use o sysmon e adicione nova configuração ao sysmonconfig.xml

winlogon.exe

Sysmon

https://github.com/olafhartong/sysmon-modular

Vulnerabilidade

Método

https://github.com/Wack0/CVE-2022-21894