اگر بدافزار بعد از ریستارت دوباره نیاید، برای خیلی از اپراتورها «هنوز مزاحم» است نه «ساکن شده». Run Key یکی از قدیمی‌ترین و هنوز زنده‌ترین راه‌های ساکن‌شدن است.
Run Key کجاست؟
مسیرهای کلاسیک (خلاصه):
HKCU\Software\Microsoft\Windows\CurrentVersion\RunHKLM\Software\Microsoft\Windows\CurrentVersion\Run- گاهی
RunOnceو مشتقات مرتبط
ATT&CK این‌ها را معمولاً زیر T1547.001 می‌بیند. اسم را حفظ کنید؛ شاهد را بیشتر.
در سندباکس چه ببینید؟
بعد از اجرا:
- مقدار جدید با نام innocuous مثل
Update،Tray،SecurityHealth - مسیر هدف داخل
%AppData%،Temp، یا پوشه‌های کاربر - زمان نوشتن نزدیک به سایر رویدادهای مخرب (drop فایل، اتصال شبکه)
نکته: ویندوز خودش هم زیاد در رجیستری می‌نویسد. هنر کار، هم‌ترازی زمانی با درخت پردازه است نه وحشت از هر تغییر.
ترفندهای کوچکی که نمونه‌ها بلدند
- نوشتن با مسیر کوته‌شده یا متغیر محیطی
- نام‌هایی شبیه سرویس‌های واقعی مایکروسافت
- drop فایل با اسم شبیه
RuntimeBrokerدر مسیر اشتباه
اگر فقط لیست رجیستری را بدون مسیر فایل و parent ببینید، گول می‌خورید.
از مشاهده تا اقدام
برای شیفت بعد سه خروجی مفید است:
- کلید و نام مقدار
- مسیر باینری هدف + hash اگر دارید
- پیشنهاد: حذف کنترل‌شده + شکار مشابه در EDR/SIEM
این همان روح گزارش قابل‌استفاده برای SOC است.
جمع‌بندی
Run Key قدیمی است چون هنوز کار می‌کند. در سیستم‌کال وقتی رجیستری را کنار فایل و پردازه می‌بینید، persistence از نویز پس‌زمینه جدا می‌شود. دنبال نام‌های براق نباشید؛ دنبال مسیر و زمان‌بندی باشید.