SharpHide

Solo un truco de persistencia ingenioso para confundir la investigación DFIR. Utiliza la API nativa NtSetValueKey para crear una clave de registro oculta (terminada en null). Esto funciona añadiendo un byte nulo delante del nombre del valor clave UNICODE_STRING.

Se puede encontrar más información sobre esta técnica en el siguiente documento técnico: https://github.com/ewhitehats/InvisiblePersistence/blob/master/InvisibleRegValues_Whitepaper.pdf

La herramienta utiliza la siguiente ruta de registro en la que crea la clave Run oculta: (HKCU si es usuario, sino HKLM)\SOFTWARE\Microsoft\Windows\CurrentVersion\Run

Uso

Para crear una clave de registro (Run) oculta:

SharpHide.exe action=create keyvalue="C:\Windows\Temp\Bla.exe"

Para crear una clave de registro (Run) oculta con parámetros:

SharpHide.exe action=create keyvalue="C:\Windows\Temp\Bla.exe" arguments="arg1 arg2"

Para eliminar la clave de registro (Run) oculta:

SharpHide.exe action=delete

Esta herramienta también funciona con execute-assembly de Cobalt Strike.

Créditos

Autor: Cornelis de Plaa (@Cneelis) / Outflank