Закрепление через раздел Run реестра
Что такое Закрепление через раздел Run реестра?
Закрепление через раздел Run реестраКлассическая техника закрепления в Windows, добавляющая запись в раздел реестра Run или RunOnce для запуска бинарника или скрипта при каждом входе пользователя.
Закрепление через разделы Run (MITRE ATT&CK T1547.001) использует известные точки автозапуска: HKCU\Software\Microsoft\Windows\CurrentVersion\Run, аналогичный куст HKLM, RunOnce и ключи ярлыков папки автозагрузки. При входе пользователя userinit/explorer считывает значения и запускает каждую команду. Метод прост, для HKCU не требует прав администратора и остаётся эффективным даже на наблюдаемых системах, так как эти разделы используют и легитимные апдейтеры. Варианты — RunOnceEx, длинные имена бинарников, малозаметные ключи вроде StartupApproved. Обнаружение строится на Sysmon Event 13 (запись значения реестра), базовой инвентаризации автозапусков с помощью Autoruns и оповещениях о значениях, ссылающихся на пути с правом записи пользователя.
● Примеры
- 01
Запись значения "Updater" = "%AppData%\loader.exe" в HKCU\Software\Microsoft\Windows\CurrentVersion\Run.
- 02
Использование RunOnce для запуска одноразового установщика, ставящего службу для длительного закрепления.
● Частые вопросы
Что такое Закрепление через раздел Run реестра?
Классическая техника закрепления в Windows, добавляющая запись в раздел реестра Run или RunOnce для запуска бинарника или скрипта при каждом входе пользователя. Относится к категории Атаки и угрозы в кибербезопасности.
Что означает Закрепление через раздел Run реестра?
Классическая техника закрепления в Windows, добавляющая запись в раздел реестра Run или RunOnce для запуска бинарника или скрипта при каждом входе пользователя.
Как защититься от Закрепление через раздел Run реестра?
Защита от Закрепление через раздел Run реестра обычно сочетает технические меры и операционные практики, как описано в определении выше.
Какие есть другие названия Закрепление через раздел Run реестра?
Распространённые альтернативные названия: Закрепление через Run, Закрепление через ключ автозапуска.