RIPPL

RIPPL Manipulando processos protegidos por PPL sem usar um driver Esta ferramenta implementa um exploit userland para manipular processos protegidos por PPL do Windows. A técnica foi inicialmente discutida por James Forshaw também conhecido como @tiraniddo e Clément Labro também conhecido como...

KslDump

KslDump - BMVD Bring the Microsoft Vulnerable Driver Contesto importante Ho segnalato il problema a Microsoft il 7 marzo 2026. Tuttavia, quasi 20 giorni prima, la comunità di hacking dei videogiochi lo aveva già invertito e discusso pubblicamente. Da parte mia, non seguo i loro progetti e non ero...

lsawhisper-bof

LSA Whisperer BOF Un porting di LSA Whisperer come Cobalt Strike Beacon Object File BOF — lo strumento che parla direttamente con i pacchetti di autenticazione di Windows tramite l'interfaccia client LSA attendibile/non attendibile, senza toccare la memoria del processo LSASS anche quando PPL e...

POSTDump

POSTDump Un altro strumento per eseguire il minidump del processo LSASS utilizzando poche tecniche per evitare il rilevamento. POSTDump è l'implementazione C / .NET della funzione minidump di ReactOS come nanodump, evitando così la chiamata alla funzione MiniDumpWriteDump dell'API di Windows. Il...

breakcyserver

breakcyserver Vollständiger Beitrag unter: https://waawaa.github.io/ 1. Töte EDR-Dienste, indem du alle geöffneten Handles des EDR-Prozesses schließt. 2. Umgehe PPL, indem du einige Treiberfunktionen des Process Explorers missbrauchst. 3. Umgehe die ObRegisterCallbacks-Implementierung, indem du...

CVE-2025-61155

CVE-2025-61155 — إنهاء تعسفي للعمليات في GameDriverX64.sys برنامج تشغيل مضاد للغش في وضع النواة موقّع — GameDriverX64.sys، يتم شحنه مع Tower of Fantasy Hotta Studio / Perfect World — يسمح لأي مستخدم محلي غير مميز بإنهاء عمليات عشوائية ، بما في ذلك خدمات مكافحة الفيروسات/EDR المحمية بـ PPL. إنه...

cve-2026-0828

CVE-2026-0828 — PoC BYOVD di Safetica ProcessMonitorDriver.sys Il driver kernel DLP di Safetica ProcessMonitorDriver.sys espone un IOCTL non autenticato che consente a qualsiasi chiamante in modalità utente di terminare processi arbitrari tramite ZwTerminateProcess nel contesto del kernel,...

CredsHunter

CredsHunter CVE-2026-3609 · Writeup Proof-of-concept di dump delle credenziali LSASS per una leak di handle di processo in grado di bypassare la PPL nel driver anti-cheat XIGNCODE3 di Wellbia, xhunter1.sys. Il driver espone un'interfaccia di comando IRPMJWRITE che chiama ObOpenObjectByPointer con...

ColdWer

Una guerra fredda sul tuo endpoint. 🥶 ColdWer ColdWer sfrutta il bypass PPL di WerFaultSecure.exe per congelare i processi EDR/AV e dumpare la memoria LSASS sui moderni sistemi Windows. root@kitploit: C O L D W E R └─┴─┴── WerFaultSecure └─┴──────── LSASS Dump └─┴──────────── Cold Freeze Congela ...

RToolZ

RToolZ Ein verdeckter Lsass-Dumper - kann den ProcExp152.sys-Treiber ausnutzen, um PPL-Lsass zu dumpen. Was ist das Besondere daran? Es werden keine Aufrufe an MiniDump oder irgendwelche dbghelp.lib-Methoden verwendet, der gesamte Dump-Vorgang wird MANUELL vom Dumper durchgeführt, wobei die...

PPLmedic

PPLmedic Dieses Tool implementiert eine Userland -Exploit-Kette zum Injizieren von beliebigem Code in eine PPL mit dem Signaturtyp Windows und zur Erhöhung auf den Signaturtyp WinTcb. Diese Techniken wurden ursprünglich von James Forshaw auch bekannt als @tiraniddo in seinem Blogbeitrag Injecting...