CVE-2022-21894 BlackLotus 检测方法与利用仓库

一个公开仓库围绕 CVE-2022-21894 收集 BlackLotus 相关检测方法，包括挂载 EFI 系统分区、检查启动文件时间戳与 MD5 哈希、排查自定义暂存目录残留，以及查询 HVCI 注册表项和 Windows Defender 事件 ID 3006、7023。仓库还给出通过 winlogon.exe 连接 80 端口 C2 的排查命令，并建议用 Sysmon 补充配置。