关于 hunting-for-startup-folder-persistence
用于排查 Windows 启动文件夹持久化的安全分析技能，面向事件响应人员和 SOC 分析师。它涵盖文件检查与实时监控，并映射 MITRE ATT&CK T1547.001，生成 JSON 报告。
主要功能
- 01枚举用户和系统启动文件夹
- 02检查文件类型、时间戳和签名
- 03标记可疑扩展名及近期文件
- 04使用 watchdog 监控文件夹变化
- 05生成带风险评分的 JSON 报告
适用场景
- 01调查疑似启动文件夹持久化
- 02监控启动目录中的新文件
- 03验证 T1547.001 检测覆盖情况
安装
复制下面的命令，在终端中运行。
$
npx skills add https:/安装后在 Claude Code 中输入/hunting-for-startup-folder-persistence确认已加载。
包含的文件
除 SKILL.md 外，安装时一起下载的参考资料和脚本。
LICENSEreferences/api-reference.mdscripts/agent.py详细介绍
搜寻启动文件夹持久化
概述
攻击者利用 Windows 启动文件夹实现持久化（MITRE ATT&CK T1547.001 — 开机或登录自动启动执行：注册表运行键 / 启动文件夹）。放置在 %APPDATA%\Microsoft\Windows\Start Menu\Programs\Startup 或 C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup 中的文件会在用户登录时自动执行。本技能会扫描启动目录中的可疑文件，使用 Python watchdog 实时监控变更，并分析文件元数据以检测持久化植入物。
使用时机
- 在调查需要搜寻启动文件夹持久化的安全事件时
- 在为此领域构建检测规则或威胁搜寻查询时
- 在 SOC 分析师需要针对此类分析的结构化流程时
- 在验证相关攻击技术的安全监控覆盖范围时
前提条件
- Python 3.9+，并安装
watchdog、pefile（可选，用于 PE 分析） - 对 Windows 启动文件夹的访问权限（用户和所有用户）
- 用于关联事件 ID 4663 的 Windows 事件日志（可选）
步骤
- 枚举用户和系统启动目录中的所有文件
- 分析文件类型、创建时间戳和数字签名
- 标记可疑文件扩展名（.bat、.vbs、.ps1、.lnk、.exe）
- 检查最近创建的文件（< 7 天）作为潜在植入物
- 使用 watchdog FileSystemEventHandler 实时监控启动文件夹
- 与已知的合法启动项进行关联
- 生成包含 T1547.001 MITRE 映射的威胁搜寻报告
预期输出
- 列出所有启动文件夹内容的 JSON 报告，包含风险评分、文件元数据和可疑指标
- 针对启动目录中新文件创建的实时监控告警
评论
支持 Markdown