Lewati ke isi

Ucapan terima kasih Persistence Hunter

Perintah persistence-hunter milik Juntei dibangun di atas dua generasi perburuan persistensi oleh komunitas. Terima kasih kepada para penulis dan kontributor yang telah menyediakan teknik, implementasi, dan riset mereka bagi para investigator.

PyrsistenceSniper: proyek Python

PyrsistenceSniper, karya Hexastrike, adalah referensi langsung untuk fitur ini. Juntei mem-port katalog 130 pemeriksaannya ke Rust native, beserta allowlist default, snapshot LOLBAS, dan perilaku klasifikasinya. Versi referensi dipatok pada commit b99c117.

Proyek Python tersebut berlisensi MIT. Juntei mempertahankan pemberitahuan hak cipta dan lisensinya di THIRD_PARTY_NOTICES/PyrsistenceSniper-LICENSE.txt. Implementasi Juntei berjalan secara offline tanpa interpreter Python. Penanganan koleksi, pelaporan cakupan, dan interpretasi konservatif atas bukti yang tidak lengkap didokumentasikan di panduan perintah.

PersistenceSniper: alat PowerShell asli

PersistenceSniper adalah proyek perburuan persistensi PowerShell asli yang menginspirasi PyrsistenceSniper. PyrsistenceSniper memberikan kredit kepada Federico Lagrasta; repositori aslinya juga memberikan kredit kepada Riccardo Ancarani dan kontributor lainnya. Kami berterima kasih kepada proyek asli dan para kontributornya karena telah membuat mekanisme persistensi Windows lebih mudah diselidiki.

Referensi porting langsung Juntei adalah proyek Python tersebut. Alat PowerShell asli diberi kredit atas silsilah tersebut. Juntei juga secara independen mengimplementasikan mekanisme yang diusulkan oleh hongson11698 di proyek asli melalui PR #31 resolusi COM scheduled task dan PR #32 library/folder CLSID Start Menu. Keduanya menambah katalog referensi Python; ini tidak menyiratkan bahwa setiap fitur sistem live di salah satu proyek upstream diimplementasikan oleh perintah offline Juntei.

Riset dan alat pendukung

  • MITRE ATT&CK menyediakan pengenal teknik yang dicantumkan di katalog. Pemetaan teknik mendeskripsikan kemungkinan penggunaan sebuah mekanisme; nilai registry atau berkas yang cocok bukan, dengan sendirinya, serangan yang dikonfirmasi oleh ATT&CK.
  • Microsoft Sysinternals Autoruns juga diakui oleh PyrsistenceSniper sebagai inspirasi untuk memeriksa autostart Windows.
  • LOLBAS mendokumentasikan binary Windows yang sah yang dapat disalahgunakan. Mengenali salah satu binary ini membantu menginterpretasikan sebuah perintah, tetapi tidak membuat perintah tersebut otomatis berbahaya.

Untuk fondasi parser registry, NTFS, Shell Link, log peristiwa, dan lainnya yang digunakan di seluruh Juntei, lihat ucapan terima kasih untuk seluruh proyek.

Kembali ke panduan mekanisme persistensi.