SharpEventPersist

Persistencia mediante escritura/lectura de shellcode desde el Registro de Eventos.

Uso

La herramienta SharpEventPersist acepta 4 parámetros sensibles a mayúsculas:

• -file "C:\path\to\shellcode.bin"
• -instanceid 1337
• -source Persistence
• -eventlog "Key Management Service".

El shellcode se convierte a hexadecimal y se escribe en el "Key Management Service", el nivel de evento se establece en "Information" y el origen en "Persistence". Ejecute la herramienta SharpEventLoader para recuperar el shellcode del registro de eventos y ejecutarlo. Idealmente, esto debería convertirse en una DLL y cargarse lateralmente al iniciar el programa o el sistema. Recuerde cambiar el nombre del Registro de Eventos y el instanceId en el cargador, si no se ejecuta con los valores predeterminados.

Los valores predeterminados dejarán el siguiente artefacto:

• Se escribirá una nueva clave en HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\EventLog\Key Management Service llamada "Persistance".
• Esta nueva clave "Persistance" no tendrá un GUID de proveedor ni TypesSupported, a diferencia de la clave predeterminada "KmsRequests". Esto se puede utilizar para construir detecciones.