SharpEventPersist

이벤트 로그에서 셸코드를 쓰고 읽어 지속성을 유지합니다.

사용법

SharpEventPersist 도구는 대소문자를 구분하는 4개의 매개변수를 사용합니다:

• -file "C:\path\to\shellcode.bin"
• -instanceid 1337
• -source Persistence
• -eventlog "Key Management Service".

셸코드는 16진수로 변환되어 "Key Management Service"에 기록되며, 이벤트 수준은 "Information"으로 설정되고 소스는 "Persistence"입니다.
SharpEventLoader 도구를 실행하여 이벤트 로그에서 셸코드를 가져와 실행합니다. 이상적으로는 DLL로 변환하여 프로그램 시작/부팅 시 사이드로드되어야 합니다.
기본값으로 실행하지 않는 경우 로더에서 이벤트 로그 이름과 instanceId를 변경하는 것을 잊지 마십시오.

기본값은 다음과 같은 아티팩트를 남깁니다:

• HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\EventLog\Key Management Service에 "Persistance"라는 새 키가 기록됩니다.
• 이 새 "Persistance" 키에는 기본 키 "KmsRequests"가 가지고 있는 provider GUID나 TypesSupported가 없습니다. 이를 사용하여 탐지를 구축할 수 있습니다.