SharpEventPersist

इवेंट लॉग से शेलकोड लिखने/पढ़ने के माध्यम से स्थायित्व (Persistence)।

उपयोग

SharpEventPersist उपकरण 4 केस-संवेदनशील पैरामीटर लेता है:

• -file "C:\path\to\shellcode.bin"
• -instanceid 1337
• -source Persistence
• -eventlog "Key Management Service"।

शेलकोड को हेक्स में बदलकर "Key Management Service" में लिखा जाता है, इवेंट स्तर "Information" पर सेट किया जाता है और स्रोत "Persistence" होता है। इवेंट लॉग से शेलकोड प्राप्त करने और उसे निष्पादित करने के लिए SharpEventLoader उपकरण चलाएँ। आदर्श रूप से इसे DLL में बदलकर प्रोग्राम स्टार्ट/बूट पर साइडलोड किया जाना चाहिए। याद रखें कि यदि डिफ़ॉल्ट मानों के साथ नहीं चल रहे हैं, तो लोडर में इवेंट लॉग नाम और instanceId बदलें।

डिफ़ॉल्ट मान निम्नलिखित कलाकृति छोड़ेंगे:

• HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\EventLog\Key Management Service में "Persistance" नामक एक नई कुंजी लिखी जाएगी।
• इस नई "Persistance" कुंजी में प्रदाता GUID या TypesSupported नहीं होगा, जो डिफ़ॉल्ट कुंजी "KmsRequests" में होता है। इसका उपयोग डिटेक्शन बनाने के लिए किया जा सकता है।