Lockbit3.0-MpClient-Defender-PoC

Lockbit3.0 Microsoft Defender MpClient.dll DLL 劫持 PoC

基于：LockBit 勒索软件滥用 Windows Defender 加载 Cobalt Strike

https://www.bleepingcomputer.com/news/security/lockbit-ransomware-abuses-windows-defender-to-load-cobalt-strike/

如何自行测试

• 新建一个目录，将 C:\Program Files\Windows Defender\MpCmdRun.exe 或 C:\Program Files\Windows Defender\NisSrv.exe 复制到该新目录中
• 将 mpclient-mpcmdrun.dll 或 mpclient-nissrv.dll（取决于你要测试的二进制文件）复制并重命名为 mpclient.dll。
• 运行该可执行文件。

如何编译

• 安装 https://releases.llvm.org/download.html
• 重启你的电脑

如果你想尝试 MpCmdRun.exe：

clang++ dllmain-mpcmdrun.cpp -o mpclient.dll -shared

如果你想尝试 NisSrv.exe：

clang++ dllmain-NisSrv.cpp -o mpclient.dll -shared

Yara 规则

查看文件 lockbit3mpclientdefender.yar