Lockbit3.0-MpClient-Defender-PoC 项目下载及安装教程

1. 项目介绍

Lockbit3.0-MpClient-Defender-PoC 是一个用于演示 Lockbit3.0 勒索软件如何利用 Windows Defender 的 MpClient.dll 进行 DLL 劫持的 PoC（概念验证）项目。该项目基于 Windows Defender 的 MpCmdRun.exe 或 NisSrv.exe 进行测试，展示了如何通过替换 MpClient.dll 来实现 DLL 劫持。

2. 项目下载位置

项目可以通过以下步骤进行下载：

1. 打开命令行工具（如 PowerShell 或 Git Bash）。
2. 使用 git clone 命令下载项目：

git clone https://github.com/Sh0ckFR/Lockbit3.0-MpClient-Defender-PoC.git

3. 下载完成后，项目文件将保存在当前目录下的 Lockbit3.0-MpClient-Defender-PoC 文件夹中。

3. 项目安装环境配置

3.1 系统要求

• Windows 操作系统
• 已安装 Windows Defender

3.2 工具安装

1. 安装 LLVM 编译器：
   • 访问 LLVM 官方下载页面。
   • 下载适合你操作系统的 LLVM 安装包。
   • 运行安装包并按照提示完成安装。
   • 安装完成后，重启计算机。

3.3 环境配置示例

4. 项目安装方式

4.1 编译项目

1. 打开命令行工具，进入项目目录：

cd Lockbit3.0-MpClient-Defender-PoC

2. 根据你想要测试的二进制文件（MpCmdRun.exe 或 NisSrv.exe），选择相应的编译命令：

• 如果你要测试 MpCmdRun.exe：

clang++ dllmain-mpcmdrun.cpp -o mpclient.dll -shared

• 如果你要测试 NisSrv.exe：

clang++ dllmain-NisSrv.cpp -o mpclient.dll -shared

4.2 测试项目

1. 创建一个新的目录，并将 C:\Program Files\Windows Defender\MpCmdRun.exe 或 C:\Program Files\Windows Defender\NisSrv.exe 复制到该目录中。
2. 将编译生成的 mpclient.dll 复制到同一目录中，并重命名为 mpclient.dll。
3. 运行复制的可执行文件（MpCmdRun.exe 或 NisSrv.exe）。

5. 项目处理脚本

项目中包含以下主要脚本文件：

• dllmain-mpcmdrun.cpp：用于编译 MpCmdRun.exe 的 DLL 劫持代码。
• dllmain-NisSrv.cpp：用于编译 NisSrv.exe 的 DLL 劫持代码。
• lockbit3mpclientdefender.yar：YARA 规则文件，用于检测 Lockbit3.0 的 DLL 劫持行为。

通过这些脚本，你可以编译生成相应的 DLL 文件，并进行 DLL 劫持测试。

---

以上是 Lockbit3.0-MpClient-Defender-PoC 项目的下载及安装教程。希望对你有所帮助！