公开BlackLotus检测工具仓库

用户 qjawls2003 公开了一个围绕 CVE-2022-21894（BlackLotus）的检测方法仓库，内容包括挂载 EFI 系统分区、检查启动文件时间戳与 MD5 哈希、排查自定义暂存目录残留，以及查询 HVCI 注册表项和 Windows Defender 事件 ID 3006、7023。 仓库还给出通过 winlogon.exe 连接 80 端口 C2 的排查命令，并建议用 Sysmon 补充配置。仓库称 Windows Defender 现已能清除该威胁。

AI 根据报道生成 · 1 小时前更新

还没有足够的连续观测数据，暂不绘制趋势。