DFIR調査を混乱させるための、ちょっとした永続化トリックです。 NtSetValueKeyネイティブAPIを使用して、隠し（null終端）レジストリキーを作成します。 これは、UNICODE_STRINGキー値名の前にnullバイトを追加することで機能します。
このテクニックの詳細については、以下のホワイトペーパーを参照してください： https://github.com/ewhitehats/InvisiblePersistence/blob/master/InvisibleRegValues_Whitepaper.pdf
このツールは、隠しRunキーを作成するために以下のレジストリパスを使用します： (HKCU if user, else HKLM)\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
隠しレジストリ（Run）キーを作成するには：
SharpHide.exe action=create keyvalue="C:\Windows\Temp\Bla.exe"
パラメータ付きで隠しレジストリ（Run）キーを作成するには：
SharpHide.exe action=create keyvalue="C:\Windows\Temp\Bla.exe" arguments="arg1 arg2"
隠しレジストリ（Run）キーを削除するには：
SharpHide.exe action=delete
このツールはCobalt Strikeのexecute-assemblyでも動作します。
作者: Cornelis de Plaa (@Cneelis) / Outflank