Persistence

Bagian Persistence di README berdiri sebagai satu tabel tiga kolom (Name, Description, URL) berisi 14 baris tool, tanpa subbagian tambahan (README.md:256-272¹). Tool di sini berbagi satu tujuan: menjaga akses tetap hidup setelah sesi awal berakhir, entah dengan menulis konfigurasi di host, menempel pada layanan yang sudah berjalan, atau membuat objek baru di host.

Titik tanam implant

Diagram berikut memetakan setiap tool ke surface yang ditinggalkannya di host. Warna dipakai konsisten: biru untuk artefak yang tersimpan di media host, oranye untuk konfigurasi dan deskriptor yang dibaca Windows saat memuat sesuatu, ungu untuk objek turunan yang baru terpakai ketika operator memintanya, dan hijau untuk titik masuk payload.

graph LR
  IMPL["implant / shellcode"]
  IMPL --> KIT["Persistence installer generik<br/>SharpStay, SharPersist"]
  IMPL --> REG["Registry key tersembunyi<br/>SharpHide"]
  IMPL --> TASK["Scheduled task<br/>ScheduleRunner"]
  IMPL --> ACL["Host security descriptor<br/>DAMP"]
  IMPL --> LOG["Event Log record<br/>SharpEventPersist"]
  IMPL --> IISMOD["Modul IIS dan ASP.NET webshell<br/>IIS-Raid, SharPyShell, Kraken"]
  IMPL --> HVNC["HVNC desktop<br/>HiddenDesktop"]
  IMPL --> ACCT["Computer account<br/>DoUCMe"]
style IMPL fill:#2d7d46,color:#fff
style REG fill:#336791,color:#fff
style IISMOD fill:#336791,color:#fff
style KIT fill:#f59e0b,color:#000
style TASK fill:#f59e0b,color:#000
style ACL fill:#f59e0b,color:#000
style LOG fill:#f59e0b,color:#000
style HVNC fill:#8b5cf6,color:#fff
style ACCT fill:#8b5cf6,color:#fff
%% fig: Titik tanam implant pada host Windows
%% desc: Delapan surface persistence yang disebut README, dikelompokkan menurut jenis artefak yang ditinggalkan di host.

Kelompok installer generik dan registry perlu dibaca hati-hati. SharpStay dan SharPersist hanya dideskripsikan sebagai proyek .NET untuk memasang persistence, tanpa menyebut surface tertentu (README.md:259-261²). Satu-satunya entri yang menuliskan registry secara eksplisit adalah SharpHide, yang membuat registry key tersembunyi (README.md:261³). Aspek penyembunyian artefak seperti ini dibahas terpisah di halaman Defense Evasion.

Entri DoUCMe tidak menyentuh registry maupun layanan: ia memakai NetUserAdd untuk membuat computer account baru, dengan usri1_priv dari USER_INFO_1 disetel ke 0x1000 (README.md:262⁴). DAMP bergerak di lapisan lain lagi, yaitu persistence melalui modifikasi security descriptor tingkat host (README.md:266⁵). Keduanya meninggalkan jejak yang dibaca oleh mekanisme otorisasi host, bukan oleh mekanisme autostart.

Daftar tool

Tabel berikut merangkum 14 baris bagian Persistence beserta node diagram yang ditempatinya.

⚠️ Tiga baris di tabel ini — A Black Path Toward The Sun, pivotnacci, dan reGeorg — bukan mekanisme persistence. Ketiganya alat TCP tunneling dan SOCKS proxy yang hanya memindahkan koneksi (README.md:263-265⁶). Penempatannya di bagian Persistence tidak mengubah fungsinya; pembahasan perpindahan jaringan ada di Lateral Movement, Tunneling, dan Exfiltration.

Catatan operasional

Dua entri mengklaim dua kegunaan sekaligus, sehingga tidak bisa dibaca sebagai tool persistence murni. ScheduleRunner ditujukan untuk persistence dan lateral movement dalam satu operasi red team (README.md:269⁸), sedangkan DAMP secara eksplisit menyebut persistence lewat modifikasi security descriptor (README.md:266⁵).

Tiga entri menempel pada aplikasi atau layanan yang sudah ada di host, bukan pada mekanisme autostart Windows. IIS-Raid adalah modul backdoor native untuk Microsoft IIS (README.md:267-268⁷), SharPyShell adalah webshell ASP.NET untuk aplikasi web C# (README.md:267-268⁷), dan Kraken adalah webshell modular multi-bahasa (README.md:271¹⁰). Konsekuensinya, ketiganya hanya hidup selama proses yang menaunginya berjalan, dan jejaknya berada di direktori aplikasi web alih-alih di konfigurasi sistem.

Dua entri terakhir memilih jalur yang berbeda. SharpEventPersist menulis lalu membaca shellcode dari Event Log (README.md:270⁹), sementara HiddenDesktop menyediakan HVNC untuk Cobalt Strike (README.md:272¹¹); sebagai modul Cobalt Strike, pemakaiannya mengikuti framework yang dibahas di halaman Command and Control.