outflanknl/sharphide숨겨진 레지스트리 키를 생성하는 도구입니다.
DFIR 조사를 혼란스럽게 만드는 간편한 지속성 트릭입니다. NtSetValueKey 네이티브 API를 사용하여 숨겨진(널 종료) 레지스트리 키를 생성합니다. 이는 UNICODE_STRING 키 값 이름 앞에 널 바이트를 추가하여 작동합니다.
이 기술에 대한 자세한 내용은 다음 백서에서 확인할 수 있습니다: https://github.com/ewhitehats/InvisiblePersistence/blob/master/InvisibleRegValues_Whitepaper.pdf
이 도구는 다음 레지스트리 경로를 사용하여 숨겨진 실행 키를 생성합니다: (HKCU, 사용자일 경우, 그렇지 않으면 HKLM)\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
숨겨진 레지스트리(Run) 키 생성:
SharpHide.exe action=create keyvalue="C:\Windows\Temp\Bla.exe"
매개변수가 있는 숨겨진 레지스트리(Run) 키 생성:
SharpHide.exe action=create keyvalue="C:\Windows\Temp\Bla.exe" arguments="arg1 arg2"
숨겨진 레지스트리(Run) 키 삭제:
SharpHide.exe action=delete
이 도구는 Cobalt Strike의 execute-assembly와도 함께 작동합니다.
작성자: Cornelis de Plaa (@Cneelis) / Outflank