SharpEventPersist

Персистентность с помощью записи/чтения шелл-кода из журнала событий.

Использование

Инструмент SharpEventPersist принимает 4 параметра, чувствительных к регистру:

• -file "C:\path\to\shellcode.bin"
• -instanceid 1337
• -source Persistence
• -eventlog "Key Management Service".

Шелл-код преобразуется в шестнадцатеричный формат и записывается в журнал "Key Management Service", уровень события устанавливается как "Information", а источник — "Persistence".
Запустите инструмент SharpEventLoader, чтобы извлечь шелл-код из журнала событий и выполнить его. В идеале это следует преобразовать в DLL и загрузить сбоку (sideload) при запуске программы/системы.
Не забудьте изменить имя журнала событий и instanceId в загрузчике, если вы запускаете не со значениями по умолчанию.

Значения по умолчанию оставят следующий артефакт:

• В HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\EventLog\Key Management Service будет записан новый ключ с именем "Persistance".
• Этот новый ключ "Persistance" не будет иметь GUID поставщика или TypesSupported, в отличие от стандартного ключа "KmsRequests". Это можно использовать для построения детекций.