hunting-for-registry-run-key-persistence

搜寻注册表 Run 键持久化

概述

注册表 Run 键（T1547.001）是攻击者最常用的持久化机制之一。当程序被添加到 Windows 注册表的 Run 键中时，它会在用户登录时自动执行。攻击者滥用 HKLM\Software\Microsoft\Windows\CurrentVersion\Run、HKCU\Software\Microsoft\Windows\CurrentVersion\Run 及其对应的 RunOnce 键来维持持久化。Sysmon 事件 ID 13（RegistryEvent - Value Set）会捕获注册表值的修改，包括目标对象路径、执行修改的进程以及新值。检测涉及监控这些事件，以发现临时目录中的可疑可执行文件、编码的 PowerShell 命令、LOLBin 路径，以及通常不会创建 Run 键条目的进程。将事件 13 与事件 1（Process Creation）和事件 11（FileCreate）串联，可通过确认载荷的创建和执行来增强检测能力。

何时使用

• 在调查需要搜寻注册表 Run 键持久化的安全事件时
• 在为该领域构建检测规则或威胁搜寻查询时
• 当 SOC 分析师需要针对此类分析的结构化流程时
• 在验证相关攻击技术的安全监控覆盖范围时

前提条件

• 已安装 Sysmon 并配置为记录事件 ID 13 的 Windows 系统
• 包含针对 Run/RunOnce 键的 RegistryEvent 规则的 Sysmon 配置
• Python 3.9+ 及 json、xml.etree.ElementTree、re 模块
• 收集 Sysmon 日志的 SIEM 或日志聚合器（Splunk、Elastic、Sentinel）
• 了解合法的自启动程序以进行基线比较

步骤

1. 收集经过筛选、针对 Run/RunOnce 键路径的 Sysmon 事件 ID 13 日志
2. 解析事件 XML/JSON 以获取 TargetObject、Details（写入的值）、Image（执行修改的进程）
3. 标记值指向临时目录、AppData 或 ProgramData 的条目
4. 检测注册表值中的编码 PowerShell 命令或脚本解释器
5. 识别 LOLBin 滥用（mshta.exe、rundll32.exe、regsvr32.exe、wscript.exe）
6. 与已知合法的自启动条目的良好基线进行比较
7. 检查执行修改的进程（Image）是否异常（cmd.exe、powershell.exe、python.exe）
8. 与事件 ID 1 串联，以验证所注册的二进制文件是否为最近创建
9. 生成包含 MITRE ATT&CK 映射和严重性评分的检测报告
10. 根据发现生成 Sigma/Splunk 检测规则

预期输出

一份 JSON 报告，列出可疑的 Run 键条目，包含注册表路径、写入的值、执行修改的进程、时间戳、MITRE 技术映射、严重性评级以及推荐的 Sigma 检测规则。