SharpEventPersist

Persistenz durch Schreiben/Lesen von Shellcode aus dem Ereignisprotokoll.

Verwendung

Das SharpEventPersist-Tool akzeptiert vier case-sensitive Parameter:

• -file "C:\path\to\shellcode.bin"
• -instanceid 1337
• -source Persistence
• -eventlog "Key Management Service".

Der Shellcode wird in Hex umgewandelt und in den "Key Management Service" geschrieben, die Ereignisebene wird auf "Information" gesetzt und die Quelle ist "Persistence".
Führen Sie das SharpEventLoader-Tool aus, um Shellcode aus dem Ereignisprotokoll abzurufen und auszuführen. Idealerweise sollte dies in eine DLL umgewandelt und beim Programmstart/-boot sideloaded werden.
Denken Sie daran, den Namen des Ereignisprotokolls und die instanceId im Loader zu ändern, falls Sie nicht mit den Standardwerten arbeiten.

Die Standardwerte hinterlassen den folgenden Artefakt:

• Ein neuer Schlüssel wird unter HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\EventLog\Key Management Service mit dem Namen "Persistance" geschrieben.
• Dieser neue "Persistance"-Schlüssel wird keine Provider-GUID oder TypesSupported haben, die der Standardschlüssel "KmsRequests" hat. Dies kann zum Erstellen von Erkennungen genutzt werden.