SharpEventPersist

イベントログからのシェルコードの書き込み/読み取りによる永続化。

使用方法

SharpEventPersist ツールは、大文字小文字を区別する4つのパラメータを受け取ります。

• -file "C:\path\to\shellcode.bin"
• -instanceid 1337
• -source Persistence
• -eventlog "Key Management Service"。

シェルコードは16進数に変換され、"Key Management Service"に書き込まれます。イベントレベルは"Information"、ソースは"Persistence"に設定されます。
SharpEventLoader ツールを実行すると、イベントログからシェルコードを取得して実行します。理想的には、これをDLLに変換し、プログラム起動時やブート時にサイドロードする必要があります。
ローダーでイベントログ名と instanceId を変更することを忘れないでください。デフォルト値で実行していない場合に限ります。

デフォルト値を使用した場合、以下の痕跡が残ります。

• HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\EventLog\Key Management Service に "Persistance" という名前の新しいキーが書き込まれます。
• この新しい "Persistance" キーには、デフォルトのキー "KmsRequests" が持つプロバイダ GUID や TypesSupported がありません。これは検出ルールの構築に利用できます。