SharpEventPersist

Persistance par écriture/lecture de shellcode depuis le Journal des événements.

Utilisation

L'outil SharpEventPersist prend 4 paramètres sensibles à la casse :

• -file "C:\path\to\shellcode.bin"
• -instanceid 1337
• -source Persistence
• -eventlog "Key Management Service".

Le shellcode est converti en hexadécimal et écrit dans le 'Key Management Service', le niveau d'événement est défini sur 'Information' et la source est 'Persistence'. Exécutez l'outil SharpEventLoader pour récupérer le shellcode du journal des événements et l'exécuter. Idéalement, cela devrait être converti en une DLL et sideloadé au démarrage du programme ou au démarrage. N'oubliez pas de modifier le nom du journal des événements et l'instanceId dans le chargeur, si vous n'utilisez pas les valeurs par défaut.

Les valeurs par défaut laisseront l'artéfact suivant :

• Une nouvelle clé sera écrite dans HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\EventLog\Key Management Service nommée 'Persistance'.
• Cette nouvelle clé 'Persistance' n'aura pas de GUID de fournisseur ni TypesSupported que la clé par défaut 'KmsRequests' possède. Cela peut être utilisé pour construire des détections.