SharpEventPersist

الاستمرارية عن طريق كتابة/قراءة شيل كود من سجل الأحداث.

الاستخدام

أداة SharpEventPersist تأخذ 4 معاملات حساسة لحالة الأحرف:

• -file "C:\path\to\shellcode.bin"
• -instanceid 1337
• -source Persistence
• -eventlog "Key Management Service".

يتم تحويل الشيل كود إلى سداسي عشري وكتابته في سجل الأحداث "Key Management Service"، ويتم تعيين مستوى الحدث إلى "Information" والمصدر إلى "Persistence".
قم بتشغيل أداة SharpEventLoader لجلب الشيل كود من سجل الأحداث وتنفيذه. من الأفضل تحويل هذا إلى ملف DLL وتحميله جانبيًا عند بدء البرنامج/الإقلاع.
تذكر تغيير اسم سجل الأحداث وinstanceId في المحمل، إذا لم يعمل بالقيم الافتراضية.

القيم الافتراضية ستترك الأثر التالي:

• سيتم كتابة مفتاح جديد في المسار HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\EventLog\Key Management Service باسم "Persistance".
• هذا المفتاح الجديد "Persistance" لن يحتوي على GUID موفر أو TypesSupported الذي يمتلكه المفتاح الافتراضي "KmsRequests". يمكن استخدام ذلك لبناء طرق كشف.