SharpHide

Apenas um truque de persistência interessante para confundir a investigação de DFIR. Usa a API nativa NtSetValueKey para criar uma chave de registro oculta (com terminação nula). Isso funciona adicionando um byte nulo na frente do nome do valor da chave UNICODE_STRING.

Mais informações sobre essa técnica podem ser encontradas no seguinte whitepaper: https://github.com/ewhitehats/InvisiblePersistence/blob/master/InvisibleRegValues_Whitepaper.pdf

A ferramenta usa o seguinte caminho de registro no qual cria a chave de execução oculta: (HKCU if user, else HKLM)\SOFTWARE\Microsoft\Windows\CurrentVersion\Run

Uso

Para criar chave de registro oculta (Run):

SharpHide.exe action=create keyvalue="C:\Windows\Temp\Bla.exe" 

Para criar uma chave de registro oculta (Run) com parâmetros:

SharpHide.exe action=create keyvalue="C:\Windows\Temp\Bla.exe" arguments="arg1 arg2"

Excluir chave de registro oculta (Run):

SharpHide.exe action=delete

Esta ferramenta também funciona com o execute-assembly do Cobalt Strike.

Créditos

Autor: Cornelis de Plaa (@Cneelis) / Outflank