Persistence Techniques Cookbook (Windows)

Windows Persistence Cookbook — 10 Técnicas con Código

Colección de 10 mecanismos de persistencia en Windows, cada uno con código funcional y documentación:

• 1. Registry Run Keys — HKCU/HKLM Run, RunOnce. El clásico. Código C y PowerShell.
• 2. Scheduled Tasks — schtasks.exe y COM API (ITaskService). Triggers: logon, idle, time-based.
• 3. WMI Event Subscriptions — __EventFilter + CommandLineEventConsumer. Sobrevive reboots, difícil de detectar.
• 4. COM Hijacking — Secuestro de CLSID en HKCU para que tu DLL se cargue cuando una app legítima instancia el COM object.
• 5. DLL Search Order Hijacking — Colocar DLL maliciosa en directorio de aplicación que busca antes que System32.
• 6. Startup Folder — Shell:startup shortcut con target a tu payload. Simple pero efectivo.
• 7. Services — Creación de servicio Windows que ejecuta tu binario como SYSTEM.
• 8. AppInit_DLLs — Registry key que fuerza carga de tu DLL en todo proceso que use user32.dll.
• 9. Image File Execution Options — Debugger key para que tu programa se ejecute cuando se lanza otro (ej: notepad.exe).
• 10. Screensaver Abuse — SCRNSAVE.EXE registry value apuntando a tu payload.