https://cyberveille.ch/tags/sgrmagent/ Recent content in SgrmAgent on CyberVeille Hugo -- 0.146.0 fr-fr Cyberveille CC BY-NC-SA 4.0 Sun, 16 Aug 2026 00:00:00 +0200 https://cyberveille.ch/posts/2026-08-16-sgrmfault-chaine-d-exploitation-combinant-werfaultsecure-exe-et-sgrmagent-sys-pour-alterer-des-processus/ Sun, 16 Aug 2026 00:00:00 +0200 https://cyberveille.ch/posts/2026-08-16-sgrmfault-chaine-d-exploitation-combinant-werfaultsecure-exe-et-sgrmagent-sys-pour-alterer-des-processus/ <h2 id="-contexte">🔍 Contexte</h2> <p>Publié en août 2026 sur GitHub par Angelo Frasca Caccia (lem0nSec_) et Alejandro Pinna, <strong>SgrmFault</strong> est un Proof-of-Concept (PoC) d&rsquo;exploitation Windows présenté aux conférences <strong>REcon 2026</strong> et <strong>DEF CON 34</strong>.</p> <h2 id="-mécanisme-technique">⚙️ Mécanisme technique</h2> <p>La chaîne d&rsquo;exploitation repose sur deux composants Windows légitimes :</p> <ul> <li><strong>WerFaultSecure.exe</strong> : utilisé pour une technique d&rsquo;injection de code basée sur COM (revivifiée), permettant l&rsquo;exécution de shellcode dans un contexte privilégié.</li> <li><strong>SgrmAgent.sys</strong> (driver Microsoft System Guard Runtime Monitor) : expose une primitive de tampering de processus via <strong>APC (Asynchronous Procedure Call)</strong>.</li> </ul> <p>La chaîne complète permet d&rsquo;<strong>altérer des processus protégés</strong> (ex: MsMpEng.exe, processus PPL) depuis un contexte non-privilégié disposant de <code>SeDebugPrivilege</code>.</p>