16 matches found
KslDump
KslDump - BMVD（自带微软易受攻击驱动程序） 重要背景 我于2026年3月7日 向微软报告了该问题。然而，大约20天前，游戏破解社区已经逆向并公开讨论了它。就我而言，我并未关注他们的项目，对此毫不知情。很明显，这是两个完全独立且不相关的项目。 参考资料 Avantguard 博客文章 既然 Defender 已经留了一把刀在厨房，何必自备刀具？ KslDump 仅使用微软签名的组件从 PPL 保护的 LSASS 中提取凭据。无需部署漏洞，无需加载驱动程序。整个攻击链随 Windows Defender 预装。微软通过将 MmCopyMemory...
lsawhisper-bof
LSA Whisperer BOF 一个 Cobalt Strike Beacon 对象文件 BOF 移植版，基于 LSA Whisperer——该工具通过 LSA 非受信/受信客户端接口直接与 Windows 身份验证包通信，即使启用了 PPL 和 Credential Guard，也无需访问 LSASS 进程内存。 为什么存在 LSA Whisperer 由 Evan McBroom（SpecterOps）开发，证明了你可以通过合法的 LsaCallAuthenticationPackage API 调用恢复 DPAPI 凭据密钥、提取云 SSO 令牌以及与 Kerberos...
ColdWer
在你的端点上打一场冷战。 🥶 ColdWer ColdWer 利用 WerFaultSecure.exe PPL 绕过技术，在现代 Windows 系统上冻结 EDR/AV 进程并转储 LSASS 内存。 C O L D W E R └─┴─┴── WerFaultSecure └─┴──────── LSASS 转储 └─┴──────────── 冷（冻结） 冻结你的 EDR/AV。提取你需要的信息。保持冷静。 👤 作者 Sh3llf1r3 @0xsh3llf1r3 🙏 致谢 本项目基于 TwoSevenOneT @TwoSevenOneT 的研究成果： 项目| 描述 ---|---...
CredsHunter
CredsHunter CVE-2026-3609 · Writeup LSASS凭据转储概念验证，利用Wellbia的XIGNCODE3反作弊驱动xhunter1.sys中绕过PPL的进程句柄泄漏漏洞。 该驱动暴露了一个IRPMJWRITE命令接口，调用ObOpenObjectByPointer时AccessMode = KernelMode且未设置OBJKERNELHANDLE，从而将内核授予的PROCESSALLACCESS句柄直接放入调用者的句柄表中。接着，标准凭据转储代码从目标中读取lsasrv.dll的3DES密钥，并恢复每个活跃登录会话的NTLM + SHA1哈希。...
POSTDump
POSTDump 另一个使用少量技术来避免检测的执行LSASS进程minidump的工具。 POSTDump 是 ReactOS minidump 函数（如 nanodump）的 C/.NET 实现，从而避免调用 Windows API MiniDumpWriteDump 函数。转储逻辑代码保存在 POSTMinidump 项目下，请随意用于你自己的项目。 与 NanoDump 类似，你可以为 minidump 加密或使用无效签名。 支持使用 ProcExp 驱动程序来转储/终止受保护的进程。 使用方法 c:\TempPostDump.exe --help "PPL DISABLED\n...
CVE-2025-61155
CVE-2025-61155 — GameDriverX64.sys中的任意进程终止 一个经过签名的内核模式反作弊驱动程序——GameDriverX64.sys，随幻塔 （Hotta Studio / Perfect World）一同提供——允许任何非特权本地用户终止任意进程 ，包括受PPL保护的杀毒软件/EDR服务。这是勒索软件操作者会利用的那种原语，并且目前正在被 Interlock 组织在野积极滥用 作为BYOVD EDR-killer。 本仓库是一个完整且可重现的拆解：安全公告、原始IDA Pro逆向工程分析、概念验证（PoC）以及现成的检测与缓解内容。 研究人员： Gabrie...
cve-2026-0828
CVE-2026-0828 — PoC BYOVD de Safetica ProcessMonitorDriver.sys El controlador kernel de DLP de Safetica ProcessMonitorDriver.sys expone un IOCTL no autenticado que permite a cualquier llamador en modo usuario terminar procesos arbitrarios mediante ZwTerminateProcess en contexto kernel, evadiendo ...
RIPPL
RIPPL Manipulando procesos protegidos por PPL sin usar un controlador Esta herramienta implementa un exploit de userland para manipular procesos protegidos por PPL de Windows. La técnica fue discutida inicialmente por James Forshaw también conocido como @tiraniddo y Clément Labro también conocido...
breakcyserver
breakcyserver Publicación completa en: https://waawaa.github.io/ 1. Elimina los servicios de EDR matando todos los manejadores abiertos del proceso de EDR. 2. Evita PPL abusando de algunas funcionalidades de los controladores de Process Explorer. 3. Evita la implementación de ObRegisterCallbacks...
RToolZ
RToolZ Un dumper sigiloso de Lsass - puede abusar del controlador ProcExp152.sys para volcar Lsass PPL. ¿Qué tiene de especial? No hay llamadas a MiniDump ni a ningún método de dbghelp.lib; todo el proceso de volcado se realiza MANUALMENTE por el dumper, reduciendo el tamaño del volcado al mínimo...
PPLmedic
PPLmedic Esta herramienta implementa una cadena de exploits en modo usuario para inyectar código arbitrario en un PPL con el tipo de firmante Windows y elevarlo al tipo de firmante WinTcb. Estas técnicas fueron discutidas originalmente por James Forshaw también conocido como @tiraniddo en su...
ps-ppl-bypass
Bypass de PPL mediante el controlador vulnerable de Process Explorer Aunque es bien sabido que las versiones antiguas anteriores a la 17.x de los controladores de SysInternals Process Explorer PSEXP152.sys son vulnerables y pueden ser abusadas para abrir identificadores de proceso con acceso...
forti-research
Fortinet fortimon374.sys - Bypass de PPL mediante comando de terminación no autenticado Descripción general Una vulnerabilidad en el controlador de kernel fortimon374.sys de Fortinet el minifiltro "anti-exploit" de FortiClient permite a cualquier administrador local terminar cualquier proceso,...
CVE-2026-68820_Mass_Exploit
CVE-2026-68820 — Edición Marco de Explotación Masiva. Módulo automatizado para escalada local masiva de privilegios LPE a NT AUTHORITY\SYSTEM mediante una vulnerabilidad de use-after-free en el controlador AFD.sys controlador de funciones auxiliares. Este exploit está diseñado para entornos...
DsArk64
DsArk64 DsArk64.sys se distribuye con 360 Total Security. Firmado por WHQL de Microsoft. LOLDrivers: magicsword-io/LOLDrivers308. CVE: Solicitado MITRE. Primitivas Terminación de procesos ring 0 IOCTL 0x80863008, entrada: PID en bruto de 4 bytes El driver llama a ZwOpenProcessALLACCESS +...
