Persistance par clé Run du registre.

Technique classique de persistance Windows qui ajoute une entrée sous une clé Run ou RunOnce afin d'exécuter un binaire ou un script à chaque ouverture de session. Cette notion relève de la catégorie Attaques et menaces en cybersécurité.

Technique classique de persistance Windows qui ajoute une entrée sous une clé Run ou RunOnce afin d'exécuter un binaire ou un script à chaque ouverture de session.

La persistance par clés Run (MITRE ATT&CK T1547.001) utilise des emplacements d'autorun bien connus : HKCU\Software\Microsoft\Windows\CurrentVersion\Run, l'équivalent HKLM, RunOnce et les clés de raccourcis du dossier Démarrage. À l'ouverture de session, userinit/explorer lit ces valeurs et exécute chaque commande. La technique est simple, ne nécessite pas de droits admin pour HKCU et reste efficace même sur des hôtes surveillés, ces clés hébergeant aussi de nombreux updaters légitimes. Variantes : RunOnceEx, noms longs, clés obscures comme StartupApproved. La détection s'appuie sur Sysmon event 13, sur un baseline via Autoruns et sur des alertes pour les valeurs pointant vers des chemins inscriptibles par l'utilisateur.

Les défenses contre Persistance par clé Run du registre combinent habituellement des contrôles techniques et des pratiques opérationnelles, comme détaillé dans la définition ci-dessus.

Noms alternatifs courants : Persistance Run, Persistance par clé autorun.