分享使用注册表过主动防御

zwhq11

来源:http://www.3800hk.com/index.html
一般的木马运行添加自启动就会被杀毒软件的主动防御或者360拦截,前几天在网上发现了几个注册表自启动的方法,效果还不错,也算是目前主动防御的一大死角了,连微点竟然也拦截不到。
1.cmd运行前执行的程序(被动启动)
HKEY_CURRENT_USERSoftwareMicrosoftCommand Processor
AutoRun REG_SZ "xxx.exe"
　　
2.session manager(自启动)
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\ControlSessionManager
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\ControlSessionManager
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\ControlSessionManager
BootExecute REG_MULIT_SZ "autocheck autochk * xxx"
瑞星就来了一个bsmain，用来开机查毒，不过xxx.exe必须用Native API，不能用Win32API。
3.屏幕保护程序(被动启动)
HKEY_USERS.DEFAULT\Control Panel\Desktop
SCRNSAVE.EXE REG_SZ "xxx.scr"
其实屏幕保护程序scr文件就是PE文件！
4. 系统组策略(自启动)
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\CurrentVersion\policies
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\CurrentVersion\policies\Run
"MSCONFIG"="%SystemRoot%xxx.exe"
还有很多注册表项更改后,可以实现自启动,这里先写这几个,其他的去要测试.
另外,还有一个偷换控制面板文件来被动启动的方式，控制面板文件在C:\windows\system32下的.cpl文件,这个文件类似dll文件。方法给大家了,至于怎么利用,大家就各显神通吧!