KDStab

KDStab 28/6/2022 : Microsoft ha lanzado un parche que impide abrir un identificador del token de MsMpEng.exe, por lo que la parte KillDefender de esta herramienta ya no funciona. Backstab debería seguir funcionando. No estoy seguro del ID del parche, puede que funcione en sistemas antiguos sin...

pySigma-backend-opensearch

Backend OpenSearch di pySigma Questo è il backend OpenSearch per pySigma. Fornisce il pacchetto sigma.backends.opensearch con due classi di backend: OpensearchLuceneBackend - Converte le regole Sigma in sintassi di query Lucene OpenSearchPPLBackend - Converte le regole Sigma in query PPL Piped...

cve-2026-0828

CVE-2026-0828 — PoC BYOVD di Safetica ProcessMonitorDriver.sys Il driver kernel DLP di Safetica ProcessMonitorDriver.sys espone un IOCTL non autenticato che consente a qualsiasi chiamante in modalità utente di terminare processi arbitrari tramite ZwTerminateProcess nel contesto del kernel,...

RToolZ

RToolZ एक स्टील्थी Lsass डंपर - PPL Lsass को डंप करने के लिए ProcExp152.sys ड्राइवर का दुरुपयोग कर सकता है। इसमें इतना खास क्या है? MiniDump या किसी भी dbghelp.lib विधियों को कॉल नहीं किया जाता, सारी डंपिंग प्रक्रिया डंपर द्वारा मैन्युअल रूप से की जाती है, साथ ही अनावश्यक DLLs को हटाकर डंप आकार क...

PPLorer

PPLorer PPLorer è un plugin IDA che risolve le chiamate PPL verso l'effettiva funzione PPL sottostante. Installazione 1. installa ida-netnode in un punto in cui IDA possa importarlo 2. clona il repository e crea un symlink da /.idapro/plugins/pplorer.py a pplorer.py nella copia clonata Utilizzo...

PPLmedic

PPLmedic Questo strumento implementa una catena di exploit in Userland per iniettare codice arbitrario in un PPL con tipo di firmatario Windows ed elevare al tipo di firmatario WinTcb. Queste tecniche sono state originariamente discusse da James Forshaw noto anche come @tiraniddo nel suo articolo...

PPLFault

PPLFault Di Gabriel Landau presso Elastic Security. Da PPLdump Is Dead. Long Live PPLdump! presentato a Black Hat Asia 2023. PPLFault AGGIORNAMENTO 2024-02: Microsoft ha corretto PPLFault il 2024-02-13. Vediquesto thread per la discussione correlata. Sfrutta un TOCTOU in Windows Code Integrity pe...

PPLFaultDumpBOF

Dies ist eine abgeleitete Arbeit von https://github.com/gabriellandau/PPLFault. Bitte sehen Sie sich dieses Repository an, um die gesamte ursprüngliche Forschung und weitere Informationen zu erhalten. Diese Konvertierung ändert bewusst keine IOCs der ursprünglichen Tool-Veröffentlichung...

CVE-2026-38053---Remove-PPL

CVE-2026-38053---Remove-PPL BYOVD que remove PPL para 24H2 e 25H2 Uma escrita arbitrária de memória no handler do IOCTL 0x12C807 METHODNEITHER do Wise System Monitor v1.5.3.127 permite que atacantes causem a remoção de PPL ou negação de serviço DoS por meio de uma entrada manipulada. Informações...

CredsHunter

CredsHunter CVE-2026-3609 · Writeup Proof-of-concept di dump delle credenziali LSASS per una leak di handle di processo in grado di bypassare la PPL nel driver anti-cheat XIGNCODE3 di Wellbia, xhunter1.sys. Il driver espone un'interfaccia di comando IRPMJWRITE che chiama ObOpenObjectByPointer con...

BYOVD-CVE-2023-52271-POC

Disclaimer: questo repository contiene codice fornito esclusivamente a scopo educativo e di ricerca. NON utilizzare questo codice su sistemi di cui non si è proprietari o per i quali non si dispone di esplicita autorizzazione al test. Qualsiasi uso improprio di questo codice può violare leggi...

ThrottleStopPPL

ThrottleStopPPL Uno strumento proof-of-concept per gestire i livelli di protezione Protected Process Light PPL su Windows Server 2022 sfruttando vulnerabilità nel driver ThrottleStop CVE-2025-7771. Panoramica Questo strumento dimostra l'escalation dei privilegi attraverso capacità di...

CVE-2025-61155

CVE-2025-61155 — Terminazione arbitraria di processi in GameDriverX64.sys Un driver anti-cheat firmato in modalità kernel — GameDriverX64.sys, distribuito con Tower of Fantasy Hotta Studio / Perfect World — consente a qualsiasi utente locale non privilegiato di terminare processi arbitrari ,...

CVE-2026-68820_Mass_Exploit

CVE-2026-68820 — Edição Mass Exploit Framework. Módulo automatizado para escalonamento local de privilégios LPE em massa para NT AUTHORITY\SYSTEM por meio de uma vulnerabilidade de use-after-free no driver AFD.sys driver de função auxiliar. Este exploit foi projetado para ambientes corporativos:...

WSASS

WSASS Questo è uno strumento che utilizza il vecchio programma WerfaultSecure.exe per eseguire il dump della memoria dei processi protetti da PPL Protected Process Light, come LSASS.EXE. L'output è in formato Windows MINIDUMP. Questo strumento sostituisce automaticamente l'intestazione magica"MDM...

RIPPL

RIPPL Manipolare i processi protetti PPL senza utilizzare un driver Questo strumento implementa un exploit userland per manipolare i processi protetti PPL di Windows. La tecnica è stata inizialmente discussa da James Forshaw noto anche come @tiraniddo e Clément Labro noto anche come @itm4n nei...

ColdWer

Ein kalter Krieg auf Ihrem Endpunkt. 🥶 ColdWer ColdWer nutzt den WerFaultSecure.exe PPL-Bypass, um EDR/AV-Prozesse einzufrieren und den LSASS-Arbeitsspeicher auf modernen Windows-Systemen auszulesen. root@kitploit: C O L D W E R └─┴─┴── WerFaultSecure └─┴──────── LSASS Dump └─┴──────────── Cold...

lsawhisper-bof

LSA Whisperer BOF Un porting di LSA Whisperer come Cobalt Strike Beacon Object File BOF — lo strumento che parla direttamente con i pacchetti di autenticazione di Windows tramite l'interfaccia client LSA attendibile/non attendibile, senza toccare la memoria del processo LSASS anche quando PPL e...

KslDump

KslDump - BMVD Bring the Microsoft Vulnerable Driver Contesto importante Ho segnalato il problema a Microsoft il 7 marzo 2026. Tuttavia, quasi 20 giorni prima, la comunità di hacking dei videogiochi lo aveva già invertito e discusso pubblicamente. Da parte mia, non seguo i loro progetti e non ero...

POSTDump

POSTDump Un altro strumento per eseguire il minidump del processo LSASS utilizzando poche tecniche per evitare il rilevamento. POSTDump è l'implementazione C / .NET della funzione minidump di ReactOS come nanodump, evitando così la chiamata alla funzione MiniDumpWriteDump dell'API di Windows. Il...