Lockbit3.0-MpClient-Defender-PoC

PoC перехвата DLL MpClient.dll Microsoft Defender в Lockbit3.0

Основано на: вымогатель LockBit злоупотребляет Windows Defender для загрузки Cobalt Strike

https://www.bleepingcomputer.com/news/security/lockbit-ransomware-abuses-windows-defender-to-load-cobalt-strike/

Как протестировать самостоятельно

• Создайте новый каталог, скопируйте C:\Program Files\Windows Defender\MpCmdRun.exe или C:\Program Files\Windows Defender\NisSrv.exe в этот новый каталог
• Скопируйте mpclient-mpcmdrun.dll или mpclient-nissrv.dll (зависит от бинарного файла, который вы хотите протестировать) и переименуйте DLL в mpclient.dll.
• Запустите исполняемый файл.

Как скомпилировать

• Установите https://releases.llvm.org/download.html
• Перезагрузите компьютер

Если вы хотите попробовать MpCmdRun.exe:

clang++ dllmain-mpcmdrun.cpp -o mpclient.dll -shared

Если вы хотите попробовать NisSrv.exe:

clang++ dllmain-NisSrv.cpp -o mpclient.dll -shared

Правило Yara

Проверьте файл lockbit3mpclientdefender.yar