SharpEventPersist

Persistenza scrivendo/leggendo shellcode dal Registro Eventi.

Utilizzo

Lo strumento SharpEventPersist accetta 4 parametri case-sensitive:

• -file "C:\path\to\shellcode.bin"
• -instanceid 1337
• -source Persistence
• -eventlog "Key Management Service".

Lo shellcode viene convertito in hex e scritto nel "Key Management Service", il livello dell'evento è impostato su "Information" e la sorgente è "Persistence".
Esegui lo strumento SharpEventLoader per recuperare lo shellcode dal registro eventi ed eseguirlo. Idealmente, questo dovrebbe essere convertito in una DLL e sideloadato all'avvio del programma/sistema.
Ricordati di cambiare il nome del registro eventi e l'instanceId nel loader, se non eseguito con i valori predefiniti.

I valori predefiniti lasceranno il seguente artefatto:

• Una nuova chiave verrà scritta in HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\EventLog\Key Management Service chiamata "Persistance".
• Questa nuova chiave "Persistance" non avrà un GUID del provider o TypesSupported che la chiave predefinita "KmsRequests" possiede. Questo può essere usato per costruire rilevamenti.