BlackLotus-Detection

CVE-2022-21894 Публичный репозиторий для всего, что связано с CVE-2022-21894 Главная страница https://www.microsoft.com/en-us/security/blog/2023/04/11/guidance-for-investigating-attacks-using-cve-2022-21894-the-blacklotus-campaign/ Windows Defender теперь способен удалять эту угрозу «Возможно...

KDStab

KDStab 28/06/2022 : Microsoft a déployé un correctif qui empêche l'ouverture d'un handle vers le jeton de MsMpEng.exe, et par conséquent la partie KillDefender de cet outil ne fonctionne plus. Backstab devrait toujours fonctionner. Je ne suis pas sûr de l'ID du correctif, cela peut fonctionner su...

FUD-UUID-Shellcode

FUD-UUID-Shellcode Introduction Une autre technique d'injection de shellcode utilisant C++ qui tente de contourner Windows Defender en utilisant la sorcellerie du chiffrement XOR et la folie des chaînes UUID :. Comment ça fonctionne Génération du shellcode Tout d'abord, générez un payload au form...

AMSIext

AMSIext AMSIext — это плагин для Firefox и Chrome, который позволяет отправлять любые потоки данных из браузера в AMSI. AMSI — это способ передачи данных из оперативной памяти в Windows Defender или любую другую систему защиты конечных точек. Это означает, что во время просмотра веб-страниц AMSIe...

ATP-PowerShell-Scripts

ATP-PowerShell-Scripts Подписанные Microsoft PowerShell-скрипты Список всех подписанных скриптов, доступных в C:\ProgramData\Microsoft\Windows Defender Advanced Threat Protection\DataCollection Доступ к файлу По умолчанию файлы недоступны. Требуется привилегия TrustedInstaller...

Defender_Exclusions-BOF

Исключения Defender BOF Что BOF для определения исключений Windows Defender: Расширения Процессы Папки Зачем Примеры использования компилятора C++ для создания BOF без необходимости промежуточных разыменований vtable. Сборка root@kitploit: cd src make all Использование 1. Загрузите...

StopDefender

StopDefender Остановите Windows Defender программно, создав новый токен с использованием учетных записей служб TrustedInstaller и Windefend. Остановка в одно нажатие: не нужно указывать параметры командной строки или PID. Полезно для интеграции с фреймворками постэксплуатации. Блог...

Lockbit3.0-MpClient-Defender-PoC

Lockbit3.0-MpClient-Defender-PoC PoC перехвата DLL MpClient.dll Microsoft Defender в Lockbit3.0 Основано на: вымогатель LockBit злоупотребляет Windows Defender для загрузки Cobalt Strike https://www.bleepingcomputer.com/news/security/lockbit-ransomware-abuses-windows-defender-to-load-cobalt-strik...

Disable-TamperProtection

Отключение Tamper Protection и других компонентов Defender / MDE Можно злоупотребить привилегиями SYSTEM / TrustedInstaller, чтобы изменить или удалить настройки WdFilter regkey ALTITUDE и выгрузить kernel minidriver, отключив Tamper Protection и другие компоненты Defender. Это также затрагивает...

CVE-2026-5000

CVE-2026-5000 Важная информация Этот CVE был одобрен как CVE.org, так и NVD. Пожалуйста, обратитесь к следующим ссылкам для справки. CVE.org - https://vulners.com/cve/CVE-2026-5000 NVD - https://nvd.nist.gov/vuln/detail/CVE-2026-5000 CVE-2026-5000 PoC уязвимости Windows Defender Описание Этот...

yetAnotherObfuscator

yetAnotherObfuscator C 난독화 도구로 Windows Defender 바이러스 백신을 우회할 수 있습니다. 이 도구를 만든 주된 이유는 C과 난독화기가 어떻게 동작하는지 더 배우기 위한 핑계였습니다. 이것은 알파 릴리스이므로, 몇 가지 재미있는 버그가 있을 것으로 기대하세요. 사용법: C exe 파일을 yetAnotherObfuscator.exe에 드래그 앤 드롭합니다. 또는 C exe 파일을 인수로 제공하세요: root@kitploit: .\yetAnotherObfuscator.exe 기여자 ✨ @Resit...

CVE-2022-30190-follina

CVE-2022-30190-follina Juste un autre PoC pour le nouvel exploit MSDT Pour modifier le Doc, ouvrez-le simplement avec 7z, xarchiver, ... pour changer la valeur dans word\rels\document.xml.rels par votre IP. L'exploit doit contenir au moins 3541 caractères avant le window.location.href, et ils...

experiments

실험 다양한 실험 / PoC 저장소입니다. debugging-secure-kernel: QEMU KVM 위에서 Windows 10 보안 커널을 gdb로 디버깅하는 PoC dns: DNS / 인증서 투명성 / 호모글리프에 관한 실험 Attack Surface Reduction: Windows Attack Surface Reduction 내부 동작 원리 분석 VDM: Windows Defender의 VDM 형식시그니처 데이터베이스 Primary Group ID: primaryGroupID AD 특성 변경 시 수행되는 보안 검사 분...

CVE-2023-36003

CVE-2023-36003: Windows Defender Exploit Protection 우회 PoC 이 저장소는 Windows Defender Exploit Protection에 영향을 미치는 중요한 보안 기능 우회 취약점인 CVE-2023-36003 에 대한 개념 증명PoC을 포함합니다. 개요 CVE-2023-36003은 Windows Defender의 취약점으로, 공격자가 익스플로잇 실행을 방지하도록 설계된 완화 기능을 우회할 수 있게 합니다. 성공적인 악용 시 악성 코드나 악성 소프트웨어가 표준 Exploit...

CheckPlz

CheckPlz CheckPlz est une adaptation en Rust des outils populaires ThreatCheck & GoCheck , conçu pour analyser des fichiers à la recherche de menaces potentielles en exploitant AMSI Antimalware Scan Interface et Windows Defender. En isolant le contenu malveillant avec précision et en fournissant...

gundog

gundog gundog - PowerShell based guided hunting in Microsoft 365 Defender Gundog provides you with guided hunting in Microsoft 365 Defender. Especially if not only for Email and Endpoint Alerts at the moment. Functionality You provide an AlertID you might received via Email notification and gundo...

SNEK_Equinox

SNEK Equinox Je tiens à remercier Nightmare-Eclipse pour l'inspiration non personnelle du projet UnDefend - https://web.archive.org/web/20260521145157/https://github.com/Nightmare-Eclipse/UnDefend: Assez drôle, j'ai trouvé un moyen de mentir à la console web de l'EDR pour montrer que Defender est...

BlueSAM

BlueSAM BOF Un adattamento di BlueHammer come Beacon Object File per Cobalt Strike che tenta di ottenere una copia del database SAM sfruttando il comportamento degli aggiornamenti di Windows Defender/VSS e elabora i dati offline del registro da Beacon. Crediti a Nightmare-Eclipse per BlueHammer...

nim-shell

Nim-Shell Reverse shell in grado di bypassare il rilevamento di EDR e Windows Defender Si prega di non caricare su VirusTotal 𝗜𝗡𝗦𝗧𝗔𝗟𝗟𝗔𝗧𝗜𝗢𝗡 𝗜𝗡𝗦𝗧𝗥𝗨𝗖𝗧𝗜𝗢𝗡𝗦 root@kitploit: $ apt install nim Compilazione nim c -d:mingw --app:gui nimshell.nim Modifica l'indirizzo IP e la porta che desideri ascoltare nel...

exch_CVE-2021-42321

exchCVE-2021-42321 Questo è lo strumento menzionato nell'articolo del team di sicurezza 7bits 《DotNet Security - Riproduzione di CVE-2021-42321》 La catena TypeConfuse è stata modificata per scrivere su file, bypassando Windows Defender e disabilitando il processo di avvio di w3wp.exe. Sostituisci...