Статья Скрытый автозапуск Amadey: анализ недетектируемого метода через реестр Windows

[devqp]

Лоадер Amadey привнес революционный подход к организации скрытого автозапуска, обходящий традиционные методы детектирования. Ключевая особенность - манипуляция параметром User Shell Folders в реестре Windows вместо стандартного использования папки Startup.

Техника реализуется через модификацию значения:

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\User Shell Folders\Startup

Пример реализации на C++:

#include <Windows.h>

// Получение пути к директории исполняемого файла
char* path = _malloc(1024);
DWORD size = GetModuleFileNameA(NULL, path, 1024);

// Парсинг пути и установка значения в реестре
RegSetValueExA(key, "Startup", 0, REG_EXPAND_SZ, (BYTE*)realPath, size);

Преимущества метода:
1. Отсутствие файлов в стандартной папке автозагрузки
2. Поддержка переменных окружения через REG_EXPAND_SZ
3. Срабатывание при любом взаимодействии с проводником

Исходный код реверс-инжиниринга доступен в репозитории Alexuiop1337:
https://github.com/Alexuiop1337/AmadeyStartup