创建隐藏注册表项的工具：SharpHide

####################
免责声明：工具本身并无好坏，希望大家以遵守《网络安全法》相关法律为前提来使用该工具，支持研究学习，切勿用于非法犯罪活动，对于恶意使用该工具造成的损失，和本人及开发者无关。
####################

SharpHide

一个很好的创建隐藏注册表项的持久性技巧，干扰和绕过DFIR调查。使用NtSetValueKey本机API创建隐藏（空指针）的注册表项。这是通过在UNICODE_STRING键值名称的前面添加一个空字节来实现的。

该工具使用以下注册表路径在其中创建隐藏的运行密钥：

（user为HKCU，否则为HKLM)SOFTWAREMicrosoftWindowsCurrentVersionRun

SharpHide使用

项目，你需要自行编译：https://github.com/outflanknl/SharpHide

创建隐藏的注册表（运行）键：

SharpHide.exe action=create keyvalue="C:WindowsTempBla.exe" 

使用参数创建隐藏的注册表（运行）键：

SharpHide.exe action=create keyvalue="C:WindowsTempBla.exe" arguments="arg1 arg2"

删除隐藏的注册表（运行）键：

SharpHide.exe action=delete

该工具还可以与Cobalt Strike的execute-assembly配合使用，自由发挥。

原文始发于微信公众号（菜鸟小新）：创建隐藏注册表项的工具：SharpHide