注册表 Run 键持久化.

经典 Windows 持久化技术,在 Run 或 RunOnce 注册表项中添加条目,使二进制或脚本在每次用户登录时执行。 它属于网络安全的 攻击与威胁 分类。

经典 Windows 持久化技术,在 Run 或 RunOnce 注册表项中添加条目,使二进制或脚本在每次用户登录时执行。

注册表 Run 键持久化(MITRE ATT&CK T1547.001)利用众所周知的自启位置,如 HKCU\Software\Microsoft\Windows\CurrentVersion\Run、对应的 HKLM 项、RunOnce 以及启动文件夹相关键。用户登录时,userinit/explorer 读取这些值并依次启动相应命令。该技术简单且 HKCU 不需要管理员权限,即便在受监控主机上依然有效,因为这些键也承载大量合法更新器。变种包括 RunOnceEx、超长二进制名以及 StartupApproved 等较隐蔽的键。检测重点是 Sysmon 事件 13(注册表值设置)、使用 Autoruns 等工具为自启项建立基线,并对指向用户可写路径的值告警。

针对 注册表 Run 键持久化 的防御通常结合技术控制与运营实践,详见上方完整定义。

常见的别称包括: Run 键持久化, 自启键持久化。