wevtutil qe Security

Security researchers have exposed a new aspect in the Living Off the Land Binaries and Scripts (LOLBAS) arsenal: the little-known potential of Windows’ wevtutil.exe for stealthy, malicious operations. Tonmoy Jitu’s in-depth analysis sheds light on how this legitimate utility, designed for event log management, can become a dangerous tool in an attacker’s hands. Wevtutil.exe is a command-line tool bundled with Windows, primarily used by system administrators for event log management.

在Windows登录期间创建将执行任意负载的注册表项是红队游戏手册中最古老的技巧之一 注册表项可以从终端添加到运行键以实现持久性。这些键将包含对用户登录时将执行的实际负载的引用，已知使用此持久性方法的威胁因素和红队使用一下注册表位置 注册表–当前用户的Run键 如果已获得提升的凭据，则最好使用本地计算机注册表位置，而不是当前用户，因为有效负载将在每次系统启动时执行，而与使用系统身份验证的用户无关。 注册表–本地计算机Run键 在下一次登录期间，有效负载将执行并与回传给Meterpeter。 Meterpreter –Run键 另外两个注册表位置，这些位置可以允许红队通过执行任意有效负载或DLL来实现持久性。这些将在登录期间执行，并且需要管理员级别的特权。 reg add "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnceEx\0001" /v Pentestlab /t REG_SZ /d "C:\tmp\pentestlab.exe" reg add...