{"id":359247,"date":"2024-05-21T00:28:37","date_gmt":"2024-05-21T00:28:37","guid":{"rendered":"http:\/\/savepearlharbor.com\/?p=359247"},"modified":"-0001-11-30T00:00:00","modified_gmt":"2024-05-21T00:28:37","slug":"","status":"publish","type":"post","link":"https:\/\/savepearlharbor.com\/?p=359247","title":{"rendered":"<span>\u0410\u0432\u0442\u043e\u043c\u0430\u0442\u0438\u0437\u0430\u0446\u0438\u044f \u0432\u044b\u044f\u0432\u043b\u0435\u043d\u0438\u044f \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u0430 \u0432 \u0440\u0435\u0435\u0441\u0442\u0440\u0435 Windows<\/span>"},"content":{"rendered":"<div><!--[--><!--]--><\/div>\n<div id=\"post-content-body\">\n<div>\n<div class=\"article-formatted-body article-formatted-body article-formatted-body_version-2\">\n<div xmlns=\"http:\/\/www.w3.org\/1999\/xhtml\">\n<figure class=\"full-width\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w1560\/getpro\/habr\/upload_files\/607\/59c\/5a0\/60759c5a09d2019461986e2341088f80.png\" width=\"1554\" height=\"560\" data-src=\"https:\/\/habrastorage.org\/getpro\/habr\/upload_files\/607\/59c\/5a0\/60759c5a09d2019461986e2341088f80.png\"\/><\/figure>\n<p>\u0412\u0441\u0435\u043c \u043f\u0440\u0438\u0432\u0435\u0442! \u041c\u0435\u043d\u044f \u0437\u043e\u0432\u0443\u0442 \u0421\u0435\u0440\u0433\u0435\u0439 \u041a\u0438\u0441\u043b\u0443\u0445\u0438\u043d, \u044f \u0440\u0430\u0431\u043e\u0442\u0430\u044e \u0430\u043d\u0430\u043b\u0438\u0442\u0438\u043a\u043e\u043c 3 \u043b\u0438\u043d\u0438\u0438 SOC, \u0438 \u043c\u043d\u0435 \u0435\u0441\u0442\u044c \u0447\u0435\u043c \u043f\u043e\u0434\u0435\u043b\u0438\u0442\u044c\u0441\u044f \u0432 \u043e\u0431\u043b\u0430\u0441\u0442\u0438 \u0440\u0435\u0430\u0433\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u044f \u043d\u0430 \u043a\u043e\u043c\u043f\u044c\u044e\u0442\u0435\u0440\u043d\u044b\u0435 \u0438\u043d\u0446\u0438\u0434\u0435\u043d\u0442\u044b \u043d\u0430 \u0445\u043e\u0441\u0442\u0430\u0445 \u043f\u043e\u0434 \u0443\u043f\u0440\u0430\u0432\u043b\u0435\u043d\u0438\u0435\u043c Windows.<\/p>\n<h3>\u0412\u0432\u0435\u0434\u0435\u043d\u0438\u0435<\/h3>\n<p>\u0412 \u0441\u0432\u043e\u0435\u0439 \u0440\u0430\u0431\u043e\u0442\u0435, \u0440\u0430\u0431\u043e\u0442\u043d\u0438\u043a\u0438 \u0418\u0411, \u043e\u0441\u043e\u0431\u0435\u043d\u043d\u043e \u0442\u0435, \u043a\u0442\u043e \u0441\u0432\u044f\u0437\u0430\u043d\u044b \u0441 \u0440\u0435\u0430\u0433\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u0435\u043c \u043d\u0430 \u0438\u043d\u0446\u0438\u0434\u0435\u043d\u0442\u044b, \u0444\u043e\u0440\u0435\u043d\u0437\u0438\u043a\u043e\u0439 \u0438\u043b\u0438 compromise assessment, \u043e\u0431\u044f\u0437\u0430\u0442\u0435\u043b\u044c\u043d\u043e \u0441\u0442\u0430\u043b\u043a\u0438\u0432\u0430\u044e\u0442\u0441\u044f \u0441 \u043d\u0435\u043e\u0431\u0445\u043e\u0434\u0438\u043c\u043e\u0441\u0442\u044c\u044e \u043a\u043e\u043f\u0430\u0442\u044c\u0441\u044f \u0432 \u043e\u043f\u0435\u0440\u0430\u0446\u0438\u043e\u043d\u043d\u043e\u0439 \u0441\u0438\u0441\u0442\u0435\u043c\u0435 \u0433\u043b\u0443\u0431\u0436\u0435 \u0438 \u0431\u044b\u0441\u0442\u0440\u0435\u0435, \u0447\u0435\u043c \u044d\u0442\u043e \u0434\u0435\u043b\u0430\u044e\u0442 \u043e\u0441\u0442\u0430\u043b\u044c\u043d\u044b\u0435. \u0422\u0430\u043a, \u043f\u0440\u0438 \u0440\u0435\u0430\u0433\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u0438 \u043d\u0430 \u0430\u043d\u043e\u043c\u0430\u043b\u044c\u043d\u043e\u0435 \u0441\u043e\u0431\u044b\u0442\u0438\u0435 (\u0438\u043b\u0438 \u0435\u0433\u043e \u043f\u043e\u0438\u0441\u043a\u0435), \u0441\u043f\u0435\u0446\u0438\u0430\u043b\u0438\u0441\u0442\u044b, \u0432 \u043f\u043e\u0434\u0430\u0432\u043b\u044f\u044e\u0449\u0438\u0445 \u0441\u043b\u0443\u0447\u0430\u044f\u0445, \u0441\u043c\u043e\u0442\u0440\u044f\u0442 \u0442\u043e\u043b\u044c\u043a\u043e \u0436\u0443\u0440\u043d\u0430\u043b\u044b \u0441\u043e\u0431\u044b\u0442\u0438\u0439 \u0441\u0438\u0441\u0442\u0435\u043c (\u043b\u043e\u043a\u0430\u043b\u044c\u043d\u043e \u0438\u043b\u0438 \u0436\u0435 \u0447\u0435\u0440\u0435\u0437 SIEM). \u0418, \u0435\u0441\u043b\u0438 \u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u0438 \u043e\u0442\u0442\u0443\u0434\u0430 \u043e\u043a\u0430\u0437\u044b\u0432\u0430\u0435\u0442\u0441\u044f \u043d\u0435\u0434\u043e\u0441\u0442\u0430\u0442\u043e\u0447\u043d\u043e, \u0442\u043e \u043f\u0440\u0438\u0431\u0435\u0433\u0430\u044e\u0442 \u043a \u043e\u0441\u043e\u0431\u044b\u043c \u043c\u0435\u0440\u0430\u043c, \u0432\u0440\u043e\u0434\u0435 \u043b\u043e\u043a\u0430\u043b\u044c\u043d\u044b\u0445 \u0430\u043d\u0430\u043b\u0438\u0437\u0430 \u0434\u0430\u043c\u043f\u0430 \u041e\u0417\u0423 \u0438 \u0430\u043d\u0430\u043b\u0438\u0437\u0430 Amcache, Prefetch, MFT, AppCompatCache, UserAssist \u0438 \u0442.\u0434.\u00a0<\/p>\n<p>\u041a \u0430\u043d\u0430\u043b\u0438\u0437\u0443 \u0440\u0435\u0435\u0441\u0442\u0440\u0430 \u0436\u0435 \u043f\u0440\u0438\u0431\u0435\u0433\u0430\u044e\u0442, \u043b\u0438\u0431\u043e \u0434\u043b\u044f \u0440\u0443\u0447\u043d\u043e\u0433\u043e \u043f\u0440\u043e\u0441\u043c\u043e\u0442\u0440\u0430 \u043a\u0430\u043a\u043e\u0439-\u0442\u043e \u0443\u043d\u0438\u043a\u0430\u043b\u044c\u043d\u043e\u0439 \u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u0438 \u043e \u0445\u043e\u0441\u0442\u0435, \u043b\u0438\u0431\u043e \u0434\u043b\u044f \u043f\u043e\u0438\u0441\u043a\u0430 \u0441\u043e\u0431\u044b\u0442\u0438\u0439 \u0441 \u043f\u043e\u043c\u043e\u0449\u044c\u044e \u0441\u0442\u043e\u0440\u043e\u043d\u043d\u0438\u0445 \u0430\u0432\u0442\u043e\u043c\u0430\u0442\u0438\u0437\u0438\u0440\u043e\u0432\u0430\u043d\u043d\u044b\u0445 \u0443\u0442\u0438\u043b\u0438\u0442 (<a href=\"https:\/\/learn.microsoft.com\/en-us\/sysinternals\/downloads\/autoruns\" rel=\"noopener noreferrer nofollow\"><strong><u>Sysinternals Autoruns<\/u><\/strong><\/a>, <a href=\"https:\/\/github.com\/last-byte\/PersistenceSniper\" rel=\"noopener noreferrer nofollow\"><strong><u>PersistenceSniper<\/u><\/strong><\/a>, <a href=\"https:\/\/github.com\/keydet89\/RegRipper3.0\" rel=\"noopener noreferrer nofollow\"><strong><u>RegRipper<\/u><\/strong><\/a>), \u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u0441\u043c\u043e\u0442\u0440\u044f\u0442 \u043d\u0430 \u043e\u043f\u0440\u0435\u0434\u0435\u043b\u0435\u043d\u043d\u044b\u0439 \u043d\u0430\u0431\u043e\u0440 \u043c\u0435\u0441\u0442, \u043a\u043e\u0442\u043e\u0440\u044b\u043c\u0438 \u043c\u043e\u0436\u0435\u0442 \u0432\u043e\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u044c\u0441\u044f \u0437\u043b\u043e\u0443\u043c\u044b\u0448\u043b\u0435\u043d\u043d\u0438\u043a. \u042d\u0442\u043e\u0442 \u0432\u0430\u0440\u0438\u0430\u043d\u0442 \u0430\u043d\u0430\u043b\u0438\u0437\u0430 \u0440\u0435\u0435\u0441\u0442\u0440\u0430, \u0430 \u0442\u0430\u043a\u0436\u0435 \u043f\u0440\u043e\u0447\u0438\u0435 \u043c\u0435\u0442\u043e\u0434\u044b, \u0432 \u043a\u043e\u0442\u043e\u0440\u044b\u0445 \u0442\u0440\u0435\u0431\u0443\u0435\u0442\u0441\u044f \u043f\u0440\u043e\u0441\u043c\u0430\u0442\u0440\u0438\u0432\u0430\u0442\u044c \u0432\u0440\u0443\u0447\u043d\u0443\u044e \u043a\u0430\u0436\u0434\u0443\u044e \u0432\u0435\u0442\u043a\u0443, \u044f \u0441\u0447\u0438\u0442\u0430\u044e \u043d\u0435\u044d\u0444\u0444\u0435\u043a\u0442\u0438\u0432\u043d\u044b\u043c\u0438, \u0438 \u0434\u0430\u043b\u0435\u0435 \u0432 \u0441\u0442\u0430\u0442\u044c\u0435 \u044f \u043f\u043e\u044f\u0441\u043d\u044e \u043f\u043e\u0447\u0435\u043c\u0443, \u0438 \u043f\u043e\u043a\u0430\u0436\u0443 \u043f\u0440\u0438\u043c\u0435\u0440, \u043a\u0430\u043a \u044f \u0440\u0435\u0448\u0438\u043b \u044d\u0442\u0443 \u043f\u0440\u043e\u0431\u043b\u0435\u043c\u0443.\u00a0<\/p>\n<h4>\u041e\u0433\u043b\u0430\u0432\u043b\u0435\u043d\u0438\u0435<\/h4>\n<ul>\n<li>\n<p><a href=\"#%D0%9A%D1%80%D0%B0%D1%82%D0%BA%D0%B0%D1%8F%20%D1%82%D0%B5%D0%BE%D1%80%D0%B8%D1%8F\" rel=\"noopener noreferrer nofollow\">\u041a\u0440\u0430\u0442\u043a\u0430\u044f \u0442\u0435\u043e\u0440\u0438\u044f<\/a><\/p>\n<\/li>\n<li>\n<p><a href=\"#%D0%9F%D1%80%D0%BE%D0%B1%D0%BB%D0%B5%D0%BC%D0%B0\" rel=\"noopener noreferrer nofollow\">\u041f\u0440\u043e\u0431\u043b\u0435\u043c\u0430<\/a><\/p>\n<\/li>\n<li>\n<p><a href=\"#%D0%9F%D1%80%D0%B5%D0%B4%D0%BB%D0%BE%D0%B6%D0%B5%D0%BD%D0%BD%D0%BE%D0%B5%20%D1%80%D0%B5%D1%88%D0%B5%D0%BD%D0%B8%D0%B5\" rel=\"noopener noreferrer nofollow\">\u041f\u0440\u0435\u0434\u043b\u043e\u0436\u0435\u043d\u043d\u043e\u0435 \u0440\u0435\u0448\u0435\u043d\u0438\u0435<\/a><\/p>\n<\/li>\n<li>\n<p><a href=\"#%D0%94%D0%B5%D0%BC%D0%BE%D0%BD%D1%81%D1%82%D1%80%D0%B0%D1%86%D0%B8%D1%8F%20%D0%BD%D0%B0%20%D0%BF%D1%80%D0%B8%D0%BC%D0%B5%D1%80%D0%B0%D1%85\" rel=\"noopener noreferrer nofollow\">\u0414\u0435\u043c\u043e\u043d\u0441\u0442\u0440\u0430\u0446\u0438\u044f \u043d\u0430 \u043f\u0440\u0438\u043c\u0435\u0440\u0430\u0445<\/a><\/p>\n<\/li>\n<li>\n<p><a href=\"#%D0%92%D1%8B%D0%B2%D0%BE%D0%B4%D1%8B\" rel=\"noopener noreferrer nofollow\">\u0412\u044b\u0432\u043e\u0434\u044b<\/a><\/p>\n<\/li>\n<li>\n<p><a href=\"#%D0%A1%D1%81%D1%8B%D0%BB%D0%BA%D0%B8%20%D0%BD%D0%B0%20%D0%B8%D1%81%D1%82%D0%BE%D1%87%D0%BD%D0%B8%D0%BA%D0%B8\" rel=\"noopener noreferrer nofollow\">\u0421\u0441\u044b\u043b\u043a\u0438 \u043d\u0430 \u0438\u0441\u0442\u043e\u0447\u043d\u0438\u043a\u0438<\/a><\/p>\n<\/li>\n<\/ul>\n<h3>\u041a\u0440\u0430\u0442\u043a\u0430\u044f \u0442\u0435\u043e\u0440\u0438\u044f<\/h3>\n<p><a class=\"anchor\" name=\"%D0%9A%D1%80%D0%B0%D1%82%D0%BA%D0%B0%D1%8F%20%D1%82%D0%B5%D0%BE%D1%80%D0%B8%D1%8F\" id=\"\u041a\u0440\u0430\u0442\u043a\u0430\u044f \u0442\u0435\u043e\u0440\u0438\u044f\"><\/a><\/p>\n<p>\u0420\u0435\u0435\u0441\u0442\u0440 Windows \u044d\u0442\u043e \u0431\u0430\u0437\u0430 \u0434\u0430\u043d\u043d\u044b\u0445 \u0441\u0438\u0441\u0442\u0435\u043c\u044b, \u043a\u043e\u0442\u043e\u0440\u0430\u044f \u043e\u0442\u0441\u043b\u0435\u0436\u0438\u0432\u0430\u0435\u0442 \u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u044e, \u043a\u0430\u0441\u0430\u044e\u0449\u0443\u044e\u0441\u044f \u043a\u043e\u043d\u0444\u0438\u0433\u0443\u0440\u0430\u0446\u0438\u0438, \u0434\u0435\u0439\u0441\u0442\u0432\u0438\u0439, \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u0435\u0439 \u0438 \u0442. \u0434. \u0421\u043e\u0441\u0442\u043e\u0438\u0442 \u043e\u043d \u0438\u0437 \u0438\u0435\u0440\u0430\u0440\u0445\u0438\u0447\u0435\u0441\u043a\u043e\u0433\u043e \u043d\u0430\u0431\u043e\u0440\u0430 \u043f\u0430\u043f\u043e\u043a (\u0432\u0435\u0442\u043e\u043a), \u0432 \u043a\u043e\u0442\u043e\u0440\u044b\u0445 \u0445\u0440\u0430\u043d\u044f\u0442\u0441\u044f \u0434\u0440\u0443\u0433\u0438\u0435 \u043f\u0430\u043f\u043a\u0438, \u043a\u043b\u044e\u0447\u0438 \u0438 \u0438\u0445 \u0437\u043d\u0430\u0447\u0435\u043d\u0438\u044f. \u0424\u0438\u0437\u0438\u0447\u0435\u0441\u043a\u0438, \u043a\u0443\u0441\u0442\u044b (\u043a\u043e\u0440\u043d\u0435\u0432\u044b\u0435 \u0432\u0435\u0442\u043a\u0438) \u0438 \u0432\u0435\u0442\u043a\u0438 \u0445\u0440\u0430\u043d\u044f\u0442\u0441\u044f \u0432 \u0441\u0438\u0441\u0442\u0435\u043c\u0435, \u0432 \u043d\u0435\u0441\u043a\u043e\u043b\u044c\u043a\u0438\u0445 \u043c\u0435\u0441\u0442\u0430\u0445:<\/p>\n<ul>\n<li>\n<p>\u0412 \u043e\u043f\u0435\u0440\u0430\u0442\u0438\u0432\u043d\u043e\u0439 \u043f\u0430\u043c\u044f\u0442\u0438 &#8212; \u043a\u0443\u0441\u0442 <em>HKEY_LOCAL_MACHINE\\Hardware<\/em>;<\/p>\n<\/li>\n<li>\n<p><code>%SystemRoot%\\System32\\Config\\*<\/code> &#8212; \u043e\u0441\u043d\u043e\u0432\u043d\u044b\u0435 \u0432\u0435\u0442\u043a\u0438 <em>SYSTEM<\/em>, <em>SAM<\/em>, <em>SECURITY<\/em>, <em>SOFTWARE <\/em>\u0438 <em>DEFAULT <\/em>\u043a\u0443\u0441\u0442\u0430 <em>HKEY_LOCAL_MACHINE;<\/em><\/p>\n<\/li>\n<li>\n<p><code>C:\\Users\\%Username%\\NTUSER.DAT<\/code> &#8212; \u0444\u0430\u0439\u043b\u044b \u043a\u0443\u0441\u0442\u043e\u0432 \u0440\u0435\u0435\u0441\u0442\u0440\u0430 \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u0435\u0439 <em>HKEY_CURRENT_USER<\/em>;<\/p>\n<\/li>\n<li>\n<p><code>%AppData%\\Local\\Microsoft\\Windows\\UsrClass.dat<\/code> &#8212; \u043a\u0443\u0441\u0442 <em>HKEY_CLASSES_ROOT <\/em>(\u0442\u0438\u043f\u044b \u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u0438 \u0438\u0437 \u043f\u043e\u0434\u0440\u0430\u0437\u0434\u0435\u043b\u0430 <em>HKEY_LOCAL_MACHINE\\Software\\Classes<\/em>);<\/p>\n<\/li>\n<li>\n<p><code> %SystemRoot%\\AppCompat\\Programs\\Amcache.hve<\/code> &#8212; \u0444\u0430\u0439\u043b \u043a\u043b\u044e\u0447\u0430 Amcache (\u0441\u043e\u0434\u0435\u0440\u0436\u0438\u0442 \u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u044e \u043e \u0432\u0441\u0435\u0445 \u0438\u0441\u043f\u043e\u043b\u043d\u044f\u0435\u043c\u044b\u0445 \u0444\u0430\u0439\u043b\u0430\u0445).<\/p>\n<\/li>\n<\/ul>\n<p>\u0417\u043d\u0430\u0447\u0435\u043d\u0438\u0435 \u043a\u043b\u044e\u0447\u0430 \u043c\u043e\u0436\u0435\u0442 \u0438\u043c\u0435\u0442\u044c \u043e\u0434\u0438\u043d \u0438\u0437 \u0442\u0438\u043f\u043e\u0432 \u0434\u0430\u043d\u043d\u044b\u0445:\u00a0<\/p>\n<ul>\n<li>\n<p>\u0421\u0442\u0440\u043e\u043a\u0430 (<em>REG_SZ<\/em>) &#8212; \u0421\u0442\u0440\u043e\u043a\u0438 \u0441 \u0431\u0443\u043a\u0432\u0435\u043d\u043d\u043e-\u0446\u0438\u0444\u0440\u043e\u0432\u044b\u043c\u0438 \u0441\u0438\u043c\u0432\u043e\u043b\u0430\u043c\u0438;<\/p>\n<\/li>\n<li>\n<p>\u041c\u043d\u043e\u0433\u043e\u0441\u0442\u0440\u043e\u0447\u043d\u043e\u0435 \u0437\u043d\u0430\u0447\u0435\u043d\u0438\u0435 (<em>REG_MULTI_SZ<\/em>) &#8212; \u0421\u043f\u0438\u0441\u043e\u043a \u0437\u043d\u0430\u0447\u0435\u043d\u0438\u0439, \u0430 \u043d\u0435 \u043e\u0434\u043d\u043e\u0441\u0442\u0440\u043e\u0447\u043d\u044b\u0439 \u0442\u0435\u043a\u0441\u0442;<\/p>\n<\/li>\n<li>\n<p>\u0420\u0430\u0441\u0448\u0438\u0440\u044f\u0435\u043c\u043e\u0435 \u0441\u0442\u0440\u043e\u043a\u043e\u0432\u043e\u0435 \u0437\u043d\u0430\u0447\u0435\u043d\u0438\u0435 (<em>REG_EXPAND_SZ<\/em>) &#8212; \u041f\u0435\u0440\u0435\u043c\u0435\u043d\u043d\u044b\u0435, \u0444\u0430\u043a\u0442\u0438\u0447\u0435\u0441\u043a\u043e\u0435 \u0437\u043d\u0430\u0447\u0435\u043d\u0438\u0435 \u043a\u043e\u0442\u043e\u0440\u044b\u0445 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u0435\u0442\u0441\u044f \u043e\u043f\u0435\u0440\u0430\u0446\u0438\u043e\u043d\u043d\u043e\u0439 \u0441\u0438\u0441\u0442\u0435\u043c\u043e\u0439 \u0432\u043e \u0432\u0440\u0435\u043c\u044f \u0432\u044b\u043f\u043e\u043b\u043d\u0435\u043d\u0438\u044f \u0438\u043b\u0438 \u043f\u0440\u0438 \u043d\u0435\u043e\u0431\u0445\u043e\u0434\u0438\u043c\u043e\u0441\u0442\u0438;<\/p>\n<\/li>\n<li>\n<p>\u0414\u0432\u043e\u0438\u0447\u043d\u044b\u0435 \u0437\u043d\u0430\u0447\u0435\u043d\u0438\u044f (<em>REG_BINARY<\/em>);<\/p>\n<\/li>\n<li>\n<p>\u0428\u0435\u0441\u0442\u043d\u0430\u0434\u0446\u0430\u0442\u0435\u0440\u0438\u0447\u043d\u044b\u0435 \u0447\u0438\u0441\u043b\u0430 (<em>DWORD<\/em> \u0438 <em>QWORD<\/em>).<\/p>\n<\/li>\n<li>\n<p>&#8230;<\/p>\n<\/li>\n<\/ul>\n<p>\u0422\u0430\u043a \u043a\u0430\u043a \u0440\u0435\u0435\u0441\u0442\u0440 \u0441\u043e\u0434\u0435\u0440\u0436\u0438\u0442 \u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u044e, \u0441\u0432\u044f\u0437\u0430\u043d\u043d\u0443\u044e \u0441 \u043a\u043e\u043d\u0444\u0438\u0433\u0443\u0440\u0430\u0446\u0438\u0435\u0439 \u0441\u0438\u0441\u0442\u0435\u043c\u044b, \u0442\u043e \u0437\u043b\u043e\u0443\u043c\u044b\u0448\u043b\u0435\u043d\u043d\u0438\u043a\u0438 \u0430\u043a\u0442\u0438\u0432\u043d\u043e \u044d\u0442\u0438\u043c \u043f\u043e\u043b\u044c\u0437\u0443\u044e\u0442\u0441\u044f, \u0434\u043e\u0431\u0430\u0432\u043b\u044f\u044f \u0438\u043b\u0438 \u0438\u0437\u043c\u0435\u043d\u044f\u044f \u0432\u0435\u0442\u043a\u0438 \u0432 \u0441\u0432\u043e\u0438\u0445 \u0446\u0435\u043b\u044f\u0445, \u0447\u0442\u043e \u0431\u044b \u043f\u0440\u0438 \u043e\u043f\u0440\u0435\u0434\u0435\u043b\u0435\u043d\u043d\u044b\u0445 \u0434\u0435\u0439\u0441\u0442\u0432\u0438\u044f\u0445 \u0432\u044b\u043f\u043e\u043b\u043d\u044f\u043b\u0430\u0441\u044c \u0438\u0445 \u0437\u043b\u043e\u043d\u0430\u043c\u0435\u0440\u0435\u043d\u043d\u0430\u044f \u043f\u0440\u043e\u0433\u0440\u0430\u043c\u043c\u0430 \u0438\u043b\u0438 \u043f\u0440\u0435\u0434\u043e\u0441\u0442\u0430\u0432\u043b\u044f\u043b\u0441\u044f \u043d\u0435\u0441\u0430\u043d\u043a\u0446\u0438\u043e\u043d\u0438\u0440\u043e\u0432\u0430\u043d\u043d\u044b\u0439 \u0434\u043e\u0441\u0442\u0443\u043f \u043a \u0441\u0438\u0441\u0442\u0435\u043c\u0435. \u041d\u0430\u0438\u0431\u043e\u043b\u0435\u0435 \u043f\u043e\u043f\u0443\u043b\u044f\u0440\u043d\u044b\u0435 \u0432\u0435\u0442\u043a\u0438 \u0440\u0435\u0435\u0441\u0442\u0440\u0430, \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u0435\u043c\u044b\u0435 \u0432\u043e \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u044b\u0445 \u0446\u0435\u043b\u044f\u0445 \u043e\u043f\u0438\u0441\u0430\u043d\u044b \u0440\u0430\u0441\u043f\u0440\u0435\u0434\u0435\u043b\u0435\u043d\u043d\u043e \u0432 \u0440\u0430\u0437\u043b\u0438\u0447\u043d\u044b\u0445 \u0442\u0435\u0445\u043d\u0438\u043a\u0430\u0445 \u0442\u0430\u043a\u0442\u0438\u043a\u0438 \u0417\u0430\u043a\u0440\u0435\u043f\u043b\u0435\u043d\u0438\u044f \u0432 \u043c\u0430\u0442\u0440\u0438\u0446\u0435 MITRE (<a href=\"https:\/\/attack.mitre.org\/tactics\/TA0003\/\" rel=\"noopener noreferrer nofollow\"><u>Persistence, Tactic TA0003 | MITRE ATT&amp;CK<\/u><\/a>). \u0422\u0430\u043a, \u0441\u0430\u043c\u043e\u0439 \u0440\u0430\u0441\u043f\u0440\u043e\u0441\u0442\u0440\u0430\u043d\u0435\u043d\u043d\u043e\u0439 \u0442\u0430\u043a\u0442\u0438\u043a\u043e\u0439 \u0441\u0447\u0438\u0442\u0430\u0435\u0442\u0441\u044f \u0434\u043e\u0431\u0430\u0432\u043b\u0435\u043d\u0438\u0435 \u0441\u0441\u044b\u043b\u043a\u0438 \u043d\u0430 \u0438\u0441\u043f\u043e\u043b\u043d\u044f\u0435\u043c\u044b\u0439 \u0444\u0430\u0439\u043b \u0432 \u0432\u0435\u0442\u043a\u0443 \u0440\u0435\u0435\u0441\u0442\u0440\u0430 \u0430\u0432\u0442\u043e\u0437\u0430\u043f\u0443\u0441\u043a\u0430 \u0441\u0438\u0441\u0442\u0435\u043c\u044b <code>HKEY_LOCAL_MACHINE\\Software\\Microsoft\\Windows\\CurrentVersion\\Run<\/code>, \u0432 \u0440\u0435\u0437\u0443\u043b\u044c\u0442\u0430\u0442\u0435 \u0447\u0435\u0433\u043e, \u0443\u043a\u0430\u0437\u0430\u043d\u043d\u0430\u044f \u043f\u0440\u043e\u0433\u0440\u0430\u043c\u043c\u0430 \u0431\u0443\u0434\u0435\u0442 \u0432\u044b\u043f\u043e\u043b\u043d\u044f\u0442\u0441\u044f \u043a\u0430\u0436\u0434\u044b\u0439 \u0440\u0430\u0437 \u043f\u0440\u0438 \u0432\u043a\u043b\u044e\u0447\u0435\u043d\u0438\u0438 \u043e\u043f\u0435\u0440\u0430\u0446\u0438\u043e\u043d\u043d\u043e\u0439 \u0441\u0438\u0441\u0442\u0435\u043c\u044b.<\/p>\n<p>\u0414\u043b\u044f \u0430\u043d\u0430\u043b\u0438\u0437\u0430 \u0440\u0435\u0435\u0441\u0442\u0440\u0430 \u0441\u0443\u0449\u0435\u0441\u0442\u0432\u0443\u0435\u0442 \u043d\u0435\u0441\u043a\u043e\u043b\u044c\u043a\u043e \u0443\u0442\u0438\u043b\u0438\u0442 \u0438 \u0441\u043f\u043e\u0441\u043e\u0431\u043e\u0432:<\/p>\n<ul>\n<li>\n<p>\u0421\u0442\u0430\u043d\u0434\u0430\u0440\u0442\u043d\u044b\u0439, \u0432\u0441\u0442\u0440\u043e\u0435\u043d\u043d\u044b\u0439 \u0432 \u0441\u0438\u0441\u0442\u0435\u043c\u0443, \u0434\u043b\u044f \u0440\u0430\u0431\u043e\u0442\u044b \u0441 \u0440\u0435\u0435\u0441\u0442\u0440\u043e\u043c \u0445\u043e\u0441\u0442\u0430, \u043d\u0430\u0436\u0438\u0432\u0443\u044e:<\/p>\n<ul>\n<li>\n<p><code>%SystemRoot%\\regedit.exe<\/code> &#8212; \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u0435\u0442 \u043f\u0440\u043e\u0441\u043c\u0430\u0442\u0440\u0438\u0432\u0430\u0442\u044c \u0438 \u0438\u0437\u043c\u0435\u043d\u044f\u0442\u044c, \u0430 \u0442\u0430\u043a\u0436\u0435 \u0438\u043c\u043f\u043e\u0440\u0442\u0438\u0440\u043e\u0432\u0430\u0442\u044c \u0438 \u044d\u043a\u0441\u043f\u043e\u0440\u0442\u0438\u0440\u043e\u0432\u0430\u0442\u044c \u0432\u0435\u0442\u043a\u0438 \u0438 \u043a\u043b\u044e\u0447\u0438 \u0440\u0435\u0435\u0441\u0442\u0440\u0430;<\/p>\n<\/li>\n<\/ul>\n<\/li>\n<li>\n<p>\u0421\u0442\u043e\u0440\u043e\u043d\u043d\u0438\u0435 \u0430\u043d\u0430\u043b\u043e\u0433\u0438, \u0434\u043b\u044f \u0440\u0430\u0431\u043e\u0442\u044b \u0441 \u0432\u044b\u0433\u0440\u0443\u0436\u0435\u043d\u043d\u044b\u043c\u0438 \u0444\u0430\u0439\u043b\u0430\u043c\u0438 \u0440\u0435\u0435\u0441\u0442\u0440\u0430, \u0434\u0440\u0443\u0433\u0438\u0445 \u0445\u043e\u0441\u0442\u043e\u0432:<\/p>\n<ul>\n<li>\n<p><a href=\"https:\/\/ericzimmerman.github.io\/#!index.md\" rel=\"noopener noreferrer nofollow\">Registry Explorer<\/a> &#8212; \u0441 \u0433\u0440\u0430\u0444\u0438\u0447\u0435\u0441\u043a\u0438\u043c \u0438\u043d\u0442\u0435\u0440\u0444\u0435\u0439\u0441\u043e\u043c;<\/p>\n<\/li>\n<li>\n<p><a href=\"https:\/\/github.com\/EricZimmerman\/RECmd?ysclid=log2lalhe399482917\" rel=\"noopener noreferrer nofollow\">RECmd<\/a> &#8212; \u043a\u043e\u043d\u0441\u043e\u043b\u044c\u043d\u044b\u0439 \u0432\u0430\u0440\u0438\u0430\u043d\u0442;<\/p>\n<\/li>\n<\/ul>\n<\/li>\n<li>\n<p>\u0410\u043d\u0430\u043b\u0438\u0437\u0430\u0442\u043e\u0440 \u0432\u044b\u0433\u0440\u0443\u0436\u0435\u043d\u043d\u044b\u0445 \u0444\u0430\u0439\u043b\u043e\u0432 \u0438\u043b\u0438 \u0432\u0435\u0442\u043e\u043a \u0440\u0435\u0435\u0441\u0442\u0440\u0430, \u043f\u043e \u0441\u0442\u043e\u0440\u043e\u043d\u043d\u0438\u043c \u0430\u043b\u0433\u043e\u0440\u0438\u0442\u043c\u0430\u043c:<\/p>\n<ul>\n<li>\n<p><a href=\"https:\/\/github.com\/keydet89\/RegRipper3.0?ysclid=log2lmvqc1318598917\" rel=\"noopener noreferrer nofollow\">RegRipper<\/a>;<\/p>\n<\/li>\n<li>\n<p><a href=\"https:\/\/learn.microsoft.com\/en-us\/sysinternals\/downloads\/autoruns\" rel=\"noopener noreferrer nofollow\">Sysinternals Autoruns<\/a> (\u0442\u0440\u0435\u0431\u0443\u0435\u0442\u0441\u044f \u0434\u043e\u043f\u043e\u043b\u043d\u0438\u0442\u0435\u043b\u044c\u043d\u043e \u0432\u044b\u0433\u0440\u0443\u0437\u043a\u0430 \u043d\u0435\u043a\u043e\u0442\u043e\u0440\u044b\u0445 \u0431\u0438\u0431\u043b\u0438\u043e\u0442\u0435\u043a \u0434\u043b\u044f \u0440\u0430\u0431\u043e\u0442\u044b);<\/p>\n<\/li>\n<\/ul>\n<\/li>\n<li>\n<p>\u0410\u043d\u0430\u043b\u0438\u0437\u0430\u0442\u043e\u0440\u044b \u0440\u0430\u0431\u043e\u0442\u0430\u044e\u0449\u0435\u0439 \u0441\u0438\u0441\u0442\u0435\u043c\u044b, \u043f\u043e \u0441\u0442\u043e\u0440\u043e\u043d\u043d\u0438\u043c \u0430\u043b\u0433\u043e\u0440\u0438\u0442\u043c\u0430\u043c:<\/p>\n<ul>\n<li>\n<p><a href=\"https:\/\/learn.microsoft.com\/en-us\/sysinternals\/downloads\/autoruns\" rel=\"noopener noreferrer nofollow\">Sysinternals Autoruns<\/a>;<\/p>\n<\/li>\n<li>\n<p><a href=\"https:\/\/github.com\/last-byte\/PersistenceSniper\" rel=\"noopener noreferrer nofollow\">PersistenceSniper<\/a>;<\/p>\n<\/li>\n<\/ul>\n<\/li>\n<li>\n<p>\u0410\u043d\u0430\u043b\u0438\u0437 \u0438\u0437\u043c\u0435\u043d\u0435\u043d\u0438\u0439, \u0432\u044b\u043f\u043e\u043b\u043d\u044f\u0435\u043c\u044b\u0445 \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u0430\u043c\u0438 \u0441\u0438\u0441\u0442\u0435\u043c\u044b \u0432 \u0441\u043e\u0431\u044b\u0442\u0438\u044f\u0445 \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u0438 (\u0442\u0440\u0435\u0431\u0443\u0435\u0442\u0441\u044f \u0434\u043e\u043f\u043e\u043b\u043d\u0438\u0442\u0435\u043b\u044c\u043d\u0430\u044f \u043f\u0440\u0435\u0434\u0432\u0430\u0440\u0438\u0442\u0435\u043b\u044c\u043d\u0430\u044f \u043d\u0430\u0441\u0442\u0440\u043e\u0439\u043a\u0430):<\/p>\n<ul>\n<li>\n<p>\u0421\u043e\u0431\u044b\u0442\u0438\u044f <a href=\"https:\/\/learn.microsoft.com\/en-us\/sysinternals\/downloads\/sysmon\" rel=\"noopener noreferrer nofollow\">Sysmon<\/a>: 12 (\u0421\u043e\u0437\u0434\u0430\u043d\u0438\u0435\/\u0443\u0434\u0430\u043b\u0435\u043d\u0438\u0435 \u043e\u0431\u044a\u0435\u043a\u0442\u0430 \u0440\u0435\u0435\u0441\u0442\u0440\u0430), 13 (\u0417\u0430\u0434\u0430\u043d\u0438\u0435 \u0437\u043d\u0430\u0447\u0435\u043d\u0438\u044f \u0440\u0435\u0435\u0441\u0442\u0440\u0430), 14 (\u041f\u0435\u0440\u0435\u0438\u043c\u0435\u043d\u043e\u0432\u0430\u043d\u0438\u0435 \u043a\u043b\u044e\u0447\u0430 \u0438 \u0437\u043d\u0430\u0447\u0435\u043d\u0438\u044f \u0440\u0435\u0435\u0441\u0442\u0440\u0430);<\/p>\n<\/li>\n<li>\n<p>\u0421\u043e\u0431\u044b\u0442\u0438\u044f Security: 4657 (\u0417\u043d\u0430\u0447\u0435\u043d\u0438\u0435 \u0440\u0435\u0435\u0441\u0442\u0440\u0430 \u0438\u0437\u043c\u0435\u043d\u0435\u043d\u043e);<\/p>\n<\/li>\n<\/ul>\n<\/li>\n<li>\n<p>\u0410\u043d\u0430\u043b\u0438\u0437 \u0440\u0435\u0435\u0441\u0442\u0440\u0430 \u0438\u0437 \u0434\u0430\u043c\u043f\u0430 \u043e\u043f\u0435\u0440\u0430\u0442\u0438\u0432\u043d\u043e\u0439 \u043f\u0430\u043c\u044f\u0442\u0438:<\/p>\n<ul>\n<li>\n<p><a href=\"https:\/\/github.com\/volatilityfoundation\/volatility\" rel=\"noopener noreferrer nofollow\">Volatility<\/a>.<\/p>\n<\/li>\n<\/ul>\n<\/li>\n<\/ul>\n<h3>\u041f\u0440\u043e\u0431\u043b\u0435\u043c\u0430<\/h3>\n<p><a class=\"anchor\" name=\"%D0%9F%D1%80%D0%BE%D0%B1%D0%BB%D0%B5%D0%BC%D0%B0\" id=\"\u041f\u0440\u043e\u0431\u043b\u0435\u043c\u0430\"><\/a><\/p>\n<p>\u041f\u043e\u0442\u0440\u0430\u0442\u0438\u0432 \u043d\u0435\u0441\u043a\u043e\u043b\u044c\u043a\u043e \u0432\u0435\u0447\u0435\u0440\u043e\u0432 \u043d\u0430 \u043a\u043e\u043d\u0441\u043e\u043b\u0438\u0434\u0430\u0446\u0438\u044e \u0432\u0441\u0435\u0439 \u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u0438 \u0438\u0437 \u043c\u0430\u0442\u0440\u0438\u0446\u044b <a href=\"https:\/\/attack.mitre.org\/tactics\/TA0003\/\" rel=\"noopener noreferrer nofollow\">MITRE <\/a>\u0438 \u0434\u043e\u043f\u043e\u043b\u043d\u0438\u0442\u0435\u043b\u044c\u043d\u044b\u0439 \u0441\u0431\u043e\u0440, \u043d\u0435 \u043e\u043f\u0438\u0441\u0430\u043d\u043d\u044b\u0445 \u0432 \u043d\u0435\u0439 \u043c\u0435\u0442\u043e\u0434\u043e\u0432 \u0430\u0432\u0442\u043e\u0437\u0430\u043f\u0443\u0441\u043a\u0430 \u041f\u041e, \u043c\u043e\u0436\u043d\u043e \u043f\u043e\u043b\u0443\u0447\u0438\u0442\u044c \u043f\u043e\u0434\u043e\u0431\u043d\u0443\u044e \u043a\u0430\u0440\u0442\u0438\u043d\u0443 \u043f\u043e \u0432\u0435\u0442\u043a\u0430\u043c \u0440\u0435\u0435\u0441\u0442\u0440\u0430, \u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u043c\u043e\u0433\u0443\u0442 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u044c\u0441\u044f \u0434\u043b\u044f \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u044b\u0445 \u0446\u0435\u043b\u0435\u0439 (\u0432 \u0441\u043a\u043e\u0431\u043a\u0430\u0445, \u043f\u0440\u0438 \u0432\u043e\u0437\u043c\u043e\u0436\u043d\u043e\u0441\u0442\u0438, \u0443\u043a\u0430\u0437\u0430\u043d\u043e \u043a \u043a\u0430\u043a\u043e\u0439 \u0442\u0435\u0445\u043d\u0438\u043a\u0435 MITRE\u00a0ATT&amp;CK \u043e\u0442\u043d\u043e\u0441\u0438\u0442\u0441\u044f \u0434\u0430\u043d\u043d\u0430\u044f \u0432\u0435\u0442\u043a\u0430 \u0440\u0435\u0435\u0441\u0442\u0440\u0430):<\/p>\n<details class=\"spoiler\">\n<summary>\u0412\u043e\u0437\u043c\u043e\u0436\u043d\u044b\u0435 \u043c\u0435\u0441\u0442\u0430 \u0437\u0430\u043a\u0440\u0435\u043f\u043b\u0435\u043d\u0438\u044f \u0432 \u0440\u0435\u0435\u0441\u0442\u0440\u0435 Windows<\/summary>\n<div class=\"spoiler__content\">\n<ul>\n<li>\n<p><code>SOFTWARE\\Classes\\CLSID\\*<\/code> (# Event Triggered Execution: Component Object Model Hijacking T1546\/015)<\/p>\n<\/li>\n<li>\n<p><code>SOFTWARE\\Classes\\*\\shell\\*\\command<\/code> (# Event Triggered Execution: Change Default File Association T1546\/001)<\/p>\n<\/li>\n<li>\n<p><code>SOFTWARE\\Microsoft\\Active Setup\\Installed Components\\<\/code> (# Boot or Logon Autostart Execution: Active Setup T1547\/014)<\/p>\n<\/li>\n<li>\n<p><code>SOFTWARE\\Microsoft\\Active Setup\\Installed Components\\*\\ShellComponent<\/code> ()<\/p>\n<\/li>\n<li>\n<p><code>SOFTWARE\\Microsoft\\Command Processor\\AutoRun<\/code> ()<\/p>\n<\/li>\n<li>\n<p><code>SOFTWARE\\Microsoft\\Ctf\\LangBarAddin\\*\\FilePath<\/code> ()<\/p>\n<\/li>\n<li>\n<p><code>SOFTWARE\\Microsoft\\Internet Explorer\\Extensions\\*\\Exec<\/code> ()<\/p>\n<\/li>\n<li>\n<p><code>SOFTWARE\\Microsoft\\Internet Explorer\\Extensions\\*\\Script<\/code> ()<\/p>\n<\/li>\n<li>\n<p><code>SOFTWARE\\Microsoft\\Netsh<\/code> (# Event Triggered Execution: Netsh Helper DLL T1546\/007)<\/p>\n<\/li>\n<li>\n<p><code>SOFTWARE\\Microsoft\\Office\\*\\Word\\Options\\GlobalDotName<\/code> (# Office Application Startup: Add-ins T1137\/006)<\/p>\n<\/li>\n<li>\n<p><code>SOFTWARE\\Microsoft\\Office\\*\\Word\\Security\\Trusted Documents<\/code> (# Office Application Startup: Add-ins T1137\/006)<\/p>\n<\/li>\n<li>\n<p><code>SOFTWARE\\Microsoft\\Office\\*\\Word\\Security\\Trusted Locations\\*\\AllowSubFolders<\/code> (# Office Application Startup: Add-ins T1137\/006)<\/p>\n<\/li>\n<li>\n<p><code>SOFTWARE\\Microsoft\\Office\\*\\Word\\Security\\Trusted Locations\\*\\Path<\/code> (# Office Application Startup: Add-ins T1137\/006)<\/p>\n<\/li>\n<li>\n<p><code>SOFTWARE\\Microsoft\\Office\\*\\Word\\Security\\VBAWarning<\/code> (# Office Application Startup: Add-ins T1137\/006)<\/p>\n<\/li>\n<li>\n<p><code>SOFTWARE\\Microsoft\\Office\\*\\Common\\General\\SharedTemplates<\/code> (# Office Application Startup: Add-ins T1137\/006)<\/p>\n<\/li>\n<li>\n<p><code>SOFTWARE\\Microsoft\\Office\\*\\Common\\General\\UserTemplates<\/code> (# Office Application Startup: Add-ins T1137\/006)<\/p>\n<\/li>\n<li>\n<p><code>SOFTWARE\\Microsoft\\Office test\\Special\\Perf<\/code> (# Office Application Startup: Office Test T1137\/002)<\/p>\n<\/li>\n<li>\n<p><code>SOFTWARE\\Microsoft\\Windows CE Services\\AutoStartOnConnect\\MicrosoftActiveSync<\/code> ()<\/p>\n<\/li>\n<li>\n<p><code>SOFTWARE\\Microsoft\\Windows CE Services\\AutoStartOnDisconnect\\MicrosoftActiveSync<\/code> ()<\/p>\n<\/li>\n<li>\n<p><code>SOFTWARE\\Microsoft\\Windows nt\\CurrentVersion\\Appcompatflags\\Custom<\/code> (# Event Triggered Execution: Application Shimming T1546\/011)<\/p>\n<\/li>\n<li>\n<p><code>SOFTWARE\\Microsoft\\Windows NT\\CurrentVersion\\Appcompatflags\\Installedsdb<\/code> (# Event Triggered Execution: Application Shimming T1546\/011)<\/p>\n<\/li>\n<li>\n<p><code>SOFTWARE\\Microsoft\\Windows NT\\CurrentVersion\\Image File Execution Options<\/code> (# Event Triggered Execution: Accessibility Features T1546\/008)<\/p>\n<\/li>\n<li>\n<p><code>SOFTWARE\\Microsoft\\Windows NT\\CurrentVersion\\Image File Execution Options\\*\\VerifierDlls<\/code> ()<\/p>\n<\/li>\n<li>\n<p><code>SOFTWARE\\Microsoft\\Windows NT\\CurrentVersion\\IniFileMapping\\system.ini\\boot<\/code> ()<\/p>\n<\/li>\n<li>\n<p><code>SOFTWARE\\Microsoft\\Windows NT\\CurrentVersion\\Schedule\\TaskCache\\Tasks<\/code> (# Scheduled Task\/Job: Scheduled Task T1053\/005)<\/p>\n<\/li>\n<li>\n<p><code>SOFTWARE\\Microsoft\\Windows NT\\CurrentVersion\\Schedule\\TaskCache\\Tree<\/code> (# Scheduled Task\/Job: Scheduled Task T1053\/005)<\/p>\n<\/li>\n<li>\n<p><code>SOFTWARE\\Microsoft\\Windows NT\\CurrentVersion\\SilentProcessExit\\<\/code> (# Event Triggered Execution: Image File Execution Options Injection T1546\/012)<\/p>\n<\/li>\n<li>\n<p><code>SOFTWARE\\Microsoft\\Windows NT\\CurrentVersion\\Terminal Server\\Install\\Software\\*<\/code> ()<\/p>\n<\/li>\n<li>\n<p><code>SOFTWARE\\Microsoft\\Windows NT\\CurrentVersion\\Windows<\/code> (# Boot or Logon Autostart Execution: Registry Run Keys \/ Startup Folder T1547\/001; # Event Triggered Execution: AppInit DLLs T1546\/010)<\/p>\n<\/li>\n<li>\n<p><code>SOFTWARE\\Microsoft\\Windows NT\\CurrentVersion\\Windows\\AppInit_DLLs<\/code> (# Boot or Logon Autostart Execution: Registry Run Keys \/ Startup Folder T1547\/001)<\/p>\n<\/li>\n<li>\n<p><code>SOFTWARE\\Microsoft\\Windows NT\\CurrentVersion\\Windows\\IconServiceLib<\/code> ()<\/p>\n<\/li>\n<li>\n<p><code>SOFTWARE\\Microsoft\\Windows NT\\CurrentVersion\\Windows\\Load<\/code> (# Boot or Logon Autostart Execution: Registry Run Keys \/ Startup Folder T1547\/001)<\/p>\n<\/li>\n<li>\n<p><code>SOFTWARE\\Microsoft\\Windows NT\\CurrentVersion\\Windows\\Run<\/code> (# Boot or Logon Autostart Execution: Registry Run Keys \/ Startup Folder T1547\/001)<\/p>\n<\/li>\n<li>\n<p><code>SOFTWARE\\Microsoft\\Windows NT\\CurrentVersion\\Winlogon\\<\/code> (# Boot or Logon Autostart Execution: Winlogon Helper DLL T1547\/004)<\/p>\n<\/li>\n<li>\n<p><code>SOFTWARE\\Microsoft\\Windows NT\\CurrentVersion\\Winlogon\\AppSetup<\/code> (# Boot or Logon Autostart Execution: Winlogon Helper DLL T1547\/004)<\/p>\n<\/li>\n<li>\n<p><code>SOFTWARE\\Microsoft\\Windows NT\\CurrentVersion\\Winlogon\\GpExtensions\\*\\DllName<\/code> (# Boot or Logon Autostart Execution: Winlogon Helper DLL T1547\/004)<\/p>\n<\/li>\n<li>\n<p><code>SOFTWARE\\Microsoft\\Windows NT\\CurrentVersion\\Winlogon\\Taskman<\/code> (# Boot or Logon Autostart Execution: Winlogon Helper DLL T1547\/004)<\/p>\n<\/li>\n<li>\n<p><code>SOFTWARE\\Microsoft\\Windows NT\\CurrentVersion\\Winlogon\\VmApplet<\/code> (# Boot or Logon Autostart Execution: Winlogon Helper DLL T1547\/004)<\/p>\n<\/li>\n<li>\n<p><code>SOFTWARE\\Microsoft\\Windows NT\\CurrentVersion\\Winlogon\\Shell<\/code> (# Boot or Logon Autostart Execution: Registry Run Keys \/ Startup Folder T1547\/001)<\/p>\n<\/li>\n<li>\n<p><code>SOFTWARE\\Microsoft\\Windows NT\\CurrentVersion\\Winlogon\\Userinit<\/code> (# Boot or Logon Autostart Execution: Registry Run Keys \/ Startup Folder T1547\/001)<\/p>\n<\/li>\n<li>\n<p><code>SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Explorer\\Shell Folders<\/code> (# Boot or Logon Autostart Execution: Registry Run Keys \/ Startup Folder T1547\/001)<\/p>\n<\/li>\n<li>\n<p><code>SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Explorer\\User Shell Folders<\/code> (# Boot or Logon Autostart Execution: Registry Run Keys \/ Startup Folder T1547\/001)<\/p>\n<\/li>\n<li>\n<p><code>SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Policies\\Explorer\\Run<\/code> (# Boot or Logon Autostart Execution: Registry Run Keys \/ Startup Folder T1547\/001)<\/p>\n<\/li>\n<li>\n<p><code>SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Policies\\SYSTEM\\Shell<\/code> (# Boot or Logon Autostart Execution: Registry Run Keys \/ Startup Folder T1547\/001)<\/p>\n<\/li>\n<li>\n<p><code>SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Run<\/code> (# Boot or Logon Autostart Execution: Registry Run Keys \/ Startup Folder T1547\/001)<\/p>\n<\/li>\n<li>\n<p><code>SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\RunOnce<\/code> (# Boot or Logon Autostart Execution: Registry Run Keys \/ Startup Folder T1547\/001)<\/p>\n<\/li>\n<li>\n<p><code>SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\RunOnceEx<\/code> (# Boot or Logon Autostart Execution: Registry Run Keys \/ Startup Folder T1547\/001)<\/p>\n<\/li>\n<li>\n<p><code>SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\RunServices<\/code> (# Boot or Logon Autostart Execution: Registry Run Keys \/ Startup Folder T1547\/001)<\/p>\n<\/li>\n<li>\n<p><code>SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\RunServicesOnce<\/code> (# Boot or Logon Autostart Execution: Registry Run Keys \/ Startup Folder T1547\/001)<\/p>\n<\/li>\n<li>\n<p><code>SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\StartupApproved\\Run<\/code> (# RegRipper run.pl)<\/p>\n<\/li>\n<li>\n<p><code>SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\StartupApproved\\Run32<\/code> (# RegRipper run.pl)<\/p>\n<\/li>\n<li>\n<p><code>Software\\Microsoft\\Windows\\CurrentVersion\\StartupApproved\\StartupFolder<\/code> (# RegRipper run.pl NTUSER)<\/p>\n<\/li>\n<li>\n<p><code>SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\ShellServiceObjectDelayLoad<\/code> (# Boot or Logon Autostart Execution: Registry Run Keys \/ Startup Folder T1547\/001)<\/p>\n<\/li>\n<li>\n<p><code>SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Policies\\Explorer\\Run<\/code> (# Boot or Logon Autostart Execution: Registry Run Keys \/ Startup Folder T1547\/001)<\/p>\n<\/li>\n<li>\n<p><code>SOFTWARE\\Microsoft\\Windows\\Windows Error Reporting\\Hangs\\ReflectDebugger<\/code> ()<\/p>\n<\/li>\n<li>\n<p><code>SOFTWARE\\Policies\\Microsoft\\Windows\\Control Panel\\Desktop\\SCRNSAVE.EXE<\/code> (# Event Triggered Execution: Screensaver T1546\/002)<\/p>\n<\/li>\n<li>\n<p><code>SOFTWARE\\Policies\\Microsoft\\Windows\\System\\Scripts<\/code> (# Boot or Logon Autostart Execution: Registry Run Keys \/ Startup Folder T1547\/001)<\/p>\n<\/li>\n<li>\n<p><code>SOFTWARE\\Policies\\Microsoft\\Windows\\System\\Scripts\\Logoff\\Script<\/code> ()<\/p>\n<\/li>\n<li>\n<p><code>SOFTWARE\\Policies\\Microsoft\\Windows\\System\\Scripts\\Logon\\Script<\/code> ()<\/p>\n<\/li>\n<li>\n<p><code>SOFTWARE\\Policies\\Microsoft\\Windows\\System\\Scripts\\Shutdown\\Script<\/code> ()<\/p>\n<\/li>\n<li>\n<p><code>SOFTWARE\\Policies\\Microsoft\\Windows\\System\\Scripts\\Startup\\Script<\/code> ()<\/p>\n<\/li>\n<li>\n<p><code>SOFTWARE\\Wow6432Node\\Microsoft\\Windows\\CurrentVersion\\Run\\<\/code> (# Boot or Logon Autostart Execution: Registry Run Keys \/ Startup Folder T1547\/001)<\/p>\n<\/li>\n<li>\n<p><code>SOFTWARE\\Wow6432Node\\Microsoft\\Windows\\CurrentVersion\\Policies\\Explorer\\Run<\/code> (# RegRipper run.pl)<\/p>\n<\/li>\n<li>\n<p><code>SOFTWARE\\Wow6432Node\\Microsoft\\Windows NT\\CurrentVersion\\Image File Execution Options\\<\/code> (# Event Triggered Execution: Image File Execution Options Injection T1546\/012)<\/p>\n<\/li>\n<li>\n<p><code>SOFTWARE\\Wow6432Node\\Microsoft\\Windows NT\\CurrentVersion\\Windows<\/code> (# Event Triggered Execution: AppInit DLLs T1546\/010)<\/p>\n<\/li>\n<li>\n<p><code>SOFTWARE\\Wow6432Node\\Microsoft\\Windows NT\\CurrentVersion\\Windows\\AppInit_Dlls<\/code> ()<\/p>\n<\/li>\n<li>\n<p><code>SOFTWARE\\Wow6432Node\\Microsoft\\Windows NT\\CurrentVersion\\Winlogon\\<\/code> (# Boot or Logon Autostart Execution: Winlogon Helper DLL T1547\/004)<\/p>\n<\/li>\n<li>\n<p><code>SYSTEM\\ControlSet001\\Control\\BootVerificationProgram\\ImagePath<\/code> ()<\/p>\n<\/li>\n<li>\n<p><code>SYSTEM\\ControlSet001\\Control\\Print\\Environments\\[Windows architecture]\\Print Processors\\*\\Driver<\/code> (# Boot or Logon Autostart Execution: Print Processors T1547\/012)<\/p>\n<\/li>\n<li>\n<p><code>SYSTEM\\ControlSet001\\Control\\Lsa\\Notification Packages<\/code> (# Modify Authentication Process: Password Filter DLL T1556\/002)<\/p>\n<\/li>\n<li>\n<p><code>SYSTEM\\ControlSet001\\Control\\Lsa\\OSConfig\\Security Packages<\/code> (# Boot or Logon Autostart Execution: Authentication Package T1547\/002; # Boot or Logon Autostart Execution: Security Support Provider T1547\/005)<\/p>\n<\/li>\n<li>\n<p><code>SYSTEM\\ControlSet001\\Control\\Lsa\\Security Packages<\/code> (# Boot or Logon Autostart Execution: Authentication Package T1547\/002; # Boot or Logon Autostart Execution: Security Support Provider T1547\/005)<\/p>\n<\/li>\n<li>\n<p><code>SYSTEM\\ControlSet001\\Control\\NetworkProvider\\Order<\/code> (# Modify Authentication Process: Network Provider DLL T1556\/008)<\/p>\n<\/li>\n<li>\n<p><code>SYSTEM\\ControlSet001\\Control\\Print\\Environments\\[Windows architecture]\\Print Processors\\[user defined]\\Driver<\/code> (# Boot or Logon Autostart Execution: Print Processors T1547\/012)<\/p>\n<\/li>\n<li>\n<p><code>SYSTEM\\ControlSet001\\Control\\Print\\Monitors<\/code> (# Boot or Logon Autostart Execution: Registry Run Keys \/ Startup Folder T1547\/001; # Boot or Logon Autostart Execution: Port Monitors T1547\/010)<\/p>\n<\/li>\n<li>\n<p><code>SYSTEM\\ControlSet001\\Control\\SafeBoot\\AlternateShell<\/code> ()<\/p>\n<\/li>\n<li>\n<p><code>SYSTEM\\ControlSet001\\Control\\ServiceControlManagerExtension<\/code> ()<\/p>\n<\/li>\n<li>\n<p><code>SYSTEM\\ControlSet001\\Control\\Session Manager<\/code> (# Boot or Logon Autostart Execution: Registry Run Keys \/ Startup Folder T1547\/001; # Event Triggered Execution: AppCert DLLs T1546\/009)<\/p>\n<\/li>\n<li>\n<p><code>SYSTEM\\ControlSet001\\Control\\Session Manager\\AppCertDLLs\\*<\/code> (# Event Triggered Execution: AppCertDLLs T1546\/009)<\/p>\n<\/li>\n<li>\n<p><code>SYSTEM\\ControlSet001\\Control\\Session Manager\\Environment\\Path<\/code> (# Hijack Execution Flow: Path Interception by PATH Environment Variable T1574\/007)<\/p>\n<\/li>\n<li>\n<p><code>SYSTEM\\ControlSet001\\Control\\Session Manager\\BootExecute<\/code> ()<\/p>\n<\/li>\n<li>\n<p><code>SYSTEM\\ControlSet001\\Control\\Session Manager\\Execute<\/code> ()<\/p>\n<\/li>\n<li>\n<p><code>SYSTEM\\ControlSet001\\Control\\Session Manager\\S0InitialCommand<\/code> ()<\/p>\n<\/li>\n<li>\n<p><code>SYSTEM\\ControlSet001\\Control\\Session Manager\\SetupExecute<\/code> ()<\/p>\n<\/li>\n<li>\n<p><code>SYSTEM\\ControlSet001\\Services<\/code> (# Hijack Execution Flow: Services Registry Permissions Weakness T1574\/011; # Create or Modify SYSTEM Process: Windows Service T1543\/003)<\/p>\n<\/li>\n<li>\n<p><code>SYSTEM\\ControlSet001\\Services\\*\\NetworkProvider<\/code> (# Modify Authentication Process: Network Provider DLL T1556\/008)<\/p>\n<\/li>\n<li>\n<p><code>SYSTEM\\ControlSet001\\Services\\W32Time\\TimeProviders\\<\/code> (# Boot or Logon Autostart Execution: Time Providers T1547\/003)<\/p>\n<\/li>\n<li>\n<p><code>SYSTEM\\ControlSet001\\Services\\servicename\\Parameters\\ServiceDll<\/code> (# Hijack Execution Flow: Services Registry Permissions Weakness T1574\/011)<\/p>\n<\/li>\n<li>\n<p><code>SYSTEM\\ControlSet001\\services\\TermService\\Parameters\\<\/code> (# Server SOFTWARE Component: Terminal Services DLL T1505\/005)<\/p>\n<\/li>\n<li>\n<p><code>SYSTEM\\ControlSet001\\Control\\Terminal Server\\Wds\\rdpwd\\StartupPrograms<\/code> ()<\/p>\n<\/li>\n<li>\n<p><code>SYSTEM\\ControlSet001\\Control\\Terminal Server\\WinStations\\RDP-Tcp\\InitialProgram<\/code> ()<\/p>\n<\/li>\n<li>\n<p><code>SYSTEM\\Setup\\CmdLine<\/code> ()<\/p>\n<\/li>\n<li>\n<p><code>NTUSER.DAT\\Environment\\UserInitMprLogonScript<\/code> (# Boot or Logon Initialization Scripts: Logon Script` (Windows) T1037\/001)<\/p>\n<\/li>\n<li>\n<p><code>NTUSER.DAT\\Control Panel\\Desktop\\scrnsave.exe<\/code> (# Event Triggered Execution: Screensaver T1546\/002)<\/p>\n<\/li>\n<li>\n<p><code>NTUSER.DAT\\Software\\*<\/code> (\u0412\u0441\u0435 \u043a\u043b\u044e\u0447\u0438 \u0432\u044b\u0448\u0435, \u043d\u0430\u0447\u0438\u043d\u0430\u044e\u0449\u0438\u0435\u0441\u044f \u0441 SOFTWARE)<\/p>\n<\/li>\n<li>\n<p><code>NTUSER.DAT\\System\\*<\/code> (\u0412\u0441\u0435 \u043a\u043b\u044e\u0447\u0438 \u0432\u044b\u0448\u0435, \u043d\u0430\u0447\u0438\u043d\u0430\u044e\u0449\u0438\u0435\u0441\u044f \u0441 SYSTEM)<\/p>\n<\/li>\n<li>\n<p><code>COR_ENABLE_PROFILING, COR_PROFILER \u0438 COR_PROFILER_PATH<\/code> (# Hijack Execution Flow: COR_PROFILER T1574\/012)<\/p>\n<\/li>\n<\/ul>\n<\/div>\n<\/details>\n<figure class=\"full-width\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w1560\/getpro\/habr\/upload_files\/28b\/371\/845\/28b371845732633c13f312c9b28b11f0.png\" width=\"810\" height=\"739\" data-src=\"https:\/\/habrastorage.org\/getpro\/habr\/upload_files\/28b\/371\/845\/28b371845732633c13f312c9b28b11f0.png\"\/><\/figure>\n<p>\u041a\u0430\u043a \u0432\u0438\u0434\u043d\u043e \u043c\u0435\u0441\u0442 \u043c\u043d\u043e\u0433\u043e \u0438 \u0435\u0441\u0442\u044c \u043c\u043d\u043e\u0436\u0435\u0441\u0442\u0432\u043e \u0441\u043f\u043e\u0441\u043e\u0431\u043e\u0432 \u0437\u0430\u043b\u0435\u0437\u0442\u044c \u0432\u043d\u0443\u0442\u0440\u044c \u0440\u0435\u0435\u0441\u0442\u0440\u0430 \u0434\u043b\u044f \u0438\u0445 \u0430\u043d\u0430\u043b\u0438\u0437\u0430, \u043d\u043e \u043d\u0438 \u043e\u0434\u0438\u043d \u0438\u0437 \u043d\u0438\u0445 (\u043f\u043e \u043a\u0440\u0430\u0439\u043d\u0435 \u043c\u0435\u0440\u0435 \u0431\u0435\u0437 \u0434\u043e\u043f\u043e\u043b\u043d\u0438\u0442\u0435\u043b\u044c\u043d\u044b\u0445 \u0434\u043e\u0440\u0430\u0431\u043e\u0442\u043e\u043a) \u043d\u0435 \u044f\u0432\u043b\u044f\u0435\u0442\u0441\u044f \u0438\u0434\u0435\u0430\u043b\u044c\u043d\u044b\u043c \u0438 \u0443\u043d\u0438\u0432\u0435\u0440\u0441\u0430\u043b\u044c\u043d\u044b\u043c, \u0442.\u043a.:<\/p>\n<ul>\n<li>\n<p>\u0418\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u044c \u0443\u0442\u0438\u043b\u0438\u0442\u044b \u0434\u043b\u044f \u0440\u0443\u0447\u043d\u043e\u0433\u043e \u043f\u0440\u043e\u0441\u043c\u043e\u0442\u0440\u0430 \u0440\u0435\u0435\u0441\u0442\u0440\u0430 &#8212; \u043d\u0435\u0440\u0430\u0437\u0443\u043c\u043d\u043e \u0438\u0437-\u0437\u0430 \u0431\u043e\u043b\u044c\u0448\u0438\u0445 \u0432\u0440\u0435\u043c\u044f\u0437\u0430\u0442\u0440\u0430\u0442 \u043d\u0430 \u0430\u043d\u0430\u043b\u0438\u0437 \u043a\u0430\u0436\u0434\u043e\u0433\u043e \u043a\u043b\u044e\u0447\u0430, \u043e\u0441\u043e\u0431\u0435\u043d\u043d\u043e \u0435\u0441\u043b\u0438 \u043d\u0443\u0436\u043d\u043e \u0438\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u0442\u044c \u043c\u043d\u043e\u0433\u043e \u0445\u043e\u0441\u0442\u043e\u0432;<\/p>\n<\/li>\n<li>\n<p>\u0418\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u044f \u0430\u043d\u0430\u043b\u0438\u0437\u0430\u0442\u043e\u0440\u044b, \u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u0430\u0432\u0442\u043e\u043c\u0430\u0442\u0438\u0447\u0435\u0441\u043a\u0438 \u043f\u0430\u0440\u0441\u044f\u0442 \u0444\u0430\u0439\u043b\u044b \u0440\u0435\u0435\u0441\u0442\u0440\u0430 (RegRipper, Autoruns, PersistenceSniper), \u0443 \u0412\u0430\u0441 \u043d\u0438\u043a\u043e\u0433\u0434\u0430 \u043d\u0435 \u0431\u0443\u0434\u0435\u0442 \u0443\u0432\u0435\u0440\u0435\u043d\u043d\u043e\u0441\u0442\u0438, \u0447\u0442\u043e \u0437\u0430\u043b\u043e\u0436\u0435\u043d\u043d\u044b\u0435 \u0430\u043b\u0433\u043e\u0440\u0438\u0442\u043c\u044b \u043f\u0440\u043e\u0432\u0435\u0440\u044f\u044e\u0442 \u0432\u0441\u0435 \u0438\u0437\u0432\u0435\u0441\u0442\u043d\u044b\u0435 \u0412\u0430\u043c \u043c\u0435\u0441\u0442\u0430 \u0437\u0430\u043a\u0440\u0435\u043f\u043b\u0435\u043d\u0438\u044f, \u043e\u0441\u043e\u0431\u0435\u043d\u043d\u043e \u0443\u0447\u0438\u0442\u044b\u0432\u0430\u044f \u0447\u0430\u0441\u0442\u043e\u0442\u0443 \u0438\u0445 \u043e\u0431\u043d\u043e\u0432\u043b\u0435\u043d\u0438\u0439 (\u043a\u0430\u043a \u0440\u0430\u0437\u0440\u0430\u0431\u043e\u0442\u0447\u0438\u043a\u043e\u043c, \u0442\u0430\u043a \u0438 \u0412\u0430\u043c\u0438). \u041a\u0430\u043a \u043f\u0440\u0438\u043c\u0435\u0440, \u044f \u0434\u043e\u0431\u0430\u0432\u0438\u043b \u0432\u0440\u0443\u0447\u043d\u0443\u044e EICAR \u0442\u0435\u0441\u0442\u043e\u0432\u044b\u0439 \u0432\u0438\u0440\u0443\u0441 \u0432 \u043a\u043e\u043d\u0442\u0435\u043a\u0441\u0442\u043d\u043e\u0435 \u043c\u0435\u043d\u044e \u0438\u0437\u043c\u0435\u043d\u0435\u043d\u0438\u044f \u0442\u0435\u043a\u0441\u0442\u043e\u0432\u044b\u0445 \u0444\u0430\u0439\u043b\u043e\u0432 \u0438 \u0437\u0430\u043f\u0443\u0441\u0442\u0438\u043b <a href=\"https:\/\/atomicredteam.io\/persistence\/T1546.011\/\" rel=\"noopener noreferrer nofollow\">AtomicTest<\/a> \u0434\u043b\u044f \u0442\u0435\u0445\u043d\u0438\u043a\u0438 <a href=\"https:\/\/attack.mitre.org\/techniques\/T1546\/011\/\" rel=\"noopener noreferrer nofollow\">T1546.011<\/a>, \u0438 \u043d\u0438 \u043e\u0434\u0438\u043d \u0438\u0445 \u044d\u0442\u0438\u0445 \u043f\u0440\u0438\u0435\u043c\u043e\u0432, Autoruns \u043d\u0435 \u043f\u043e\u043a\u0430\u0437\u0430\u043b:<\/p>\n<\/li>\n<\/ul>\n<figure class=\"full-width\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w1560\/getpro\/habr\/upload_files\/edb\/38b\/17a\/edb38b17a47c97c4aa5e24d9f0261116.png\" alt=\"Autoruns \u043f\u043e\u043a\u0430\u0437\u044b\u0432\u0430\u0435\u0442 \u043d\u0435 \u0432\u0441\u0435\" title=\"Autoruns \u043f\u043e\u043a\u0430\u0437\u044b\u0432\u0430\u0435\u0442 \u043d\u0435 \u0432\u0441\u0435\" width=\"1600\" height=\"858\" data-src=\"https:\/\/habrastorage.org\/getpro\/habr\/upload_files\/edb\/38b\/17a\/edb38b17a47c97c4aa5e24d9f0261116.png\"\/><\/p>\n<div><figcaption>Autoruns \u043f\u043e\u043a\u0430\u0437\u044b\u0432\u0430\u0435\u0442 \u043d\u0435 \u0432\u0441\u0435<\/figcaption><\/div>\n<\/figure>\n<ul>\n<li>\n<p>\u0415\u0441\u043b\u0438 \u043f\u043e\u043b\u0430\u0433\u0430\u0442\u044c\u0441\u044f \u043d\u0430 \u0441\u043e\u0431\u044b\u0442\u0438\u044f \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u0438 \u0441 \u0438\u0437\u043c\u0435\u043d\u0435\u043d\u0438\u044f\u043c\u0438, \u0442\u043e \u043e\u043d\u0438 \u043c\u043e\u0433\u0443\u0442 \u043b\u0438\u0431\u043e \u0432\u043e\u043e\u0431\u0449\u0435 \u043e\u0442\u0441\u0443\u0442\u0441\u0442\u0432\u043e\u0432\u0430\u0442\u044c (\u043d\u0430\u043f\u0440\u0438\u043c\u0435\u0440 \u0443\u0434\u0430\u043b\u0435\u043d\u044b \u0437\u043b\u043e\u0443\u043c\u044b\u0448\u043b\u0435\u043d\u043d\u0438\u043a\u043e\u043c), \u043b\u0438\u0431\u043e \u0431\u044b\u0442\u044c \u043d\u0435 \u043d\u0430\u0441\u0442\u0440\u043e\u0435\u043d\u044b \u043d\u0430 \u043e\u043f\u0440\u0435\u0434\u0435\u043b\u0435\u043d\u043d\u044b\u0435 \u0432\u0435\u0442\u043a\u0438.<\/p>\n<\/li>\n<\/ul>\n<p>\u0422\u0430\u043a\u0438\u043c \u043e\u0431\u0440\u0430\u0437\u043e\u043c, \u0438\u0434\u0435\u0430\u043b\u044c\u043d\u043e\u0435 \u0438 \u0443\u043d\u0438\u0432\u0435\u0440\u0441\u0430\u043b\u044c\u043d\u043e\u0435 \u0440\u0435\u0448\u0435\u043d\u0438\u0435 \u0434\u043e\u043b\u0436\u043d\u043e \u043f\u043e\u0434\u0447\u0438\u043d\u044f\u0442\u044c\u0441\u044f \u0441\u043b\u0435\u0434\u0443\u044e\u0449\u0438\u043c \u043a\u0440\u0438\u0442\u0435\u0440\u0438\u044f\u043c:<\/p>\n<ul>\n<li>\n<p>\u0423\u043c\u0435\u0442\u044c \u0440\u0430\u0431\u043e\u0442\u0430\u0442\u044c \u0441 \u0432\u044b\u0433\u0440\u0443\u0436\u0435\u043d\u043d\u044b\u043c\u0438 \u0444\u0430\u0439\u043b\u0430\u043c\u0438 \u0440\u0435\u0435\u0441\u0442\u0440\u0430 (\u0434\u043e\u0441\u0442\u0443\u043f \u043a \u0440\u0430\u0431\u043e\u0442\u0430\u044e\u0449\u0435\u043c\u0443 \u0445\u043e\u0441\u0442\u0443 \u043d\u0435 \u0432\u0441\u0435\u0433\u0434\u0430 \u0431\u0443\u0434\u0435\u0442, \u0430 \u0432\u044b\u0433\u0440\u0443\u0437\u0438\u0442\u044c \u0444\u0430\u0439\u043b\u044b \u043c\u043e\u0436\u043d\u043e \u0434\u0430\u0436\u0435 \u0441 \u0432\u044b\u043a\u043b\u044e\u0447\u0435\u043d\u043d\u044b\u0445 \u0441\u0438\u0441\u0442\u0435\u043c, \u0441 \u043f\u043e\u043c\u043e\u0449\u044c\u044e Live CD);<\/p>\n<\/li>\n<li>\n<p>\u0410\u0432\u0442\u043e\u043c\u0430\u0442\u0438\u0447\u0435\u0441\u043a\u0438 \u043f\u0430\u0440\u0441\u0438\u0442\u044c \u0444\u0430\u0439\u043b\u044b \u0440\u0435\u0435\u0441\u0442\u0440\u0430, \u0432 \u0441\u043e\u043e\u0442\u0432\u0435\u0442\u0441\u0442\u0432\u0438\u0438 \u0441 \u043b\u0435\u0433\u043a\u043e \u0434\u043e\u0431\u0430\u0432\u043b\u044f\u0435\u043c\u044b\u043c\u0438 \u043f\u0440\u0430\u0432\u0438\u043b\u0430\u043c\u0438 \u043f\u0430\u0440\u0441\u0438\u043d\u0433\u0430 (\u043d\u0430 \u0441\u043b\u0443\u0447\u0430\u0439 \u043e\u0431\u043d\u0430\u0440\u0443\u0436\u0435\u043d\u0438\u044f \u043d\u043e\u0432\u044b\u0445 \u043c\u0435\u0441\u0442 \u0437\u0430\u043a\u0440\u0435\u043f\u043b\u0435\u043d\u0438\u044f, \u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u043d\u0435 \u0431\u044b\u043b\u0438 \u0443\u0447\u0442\u0435\u043d\u044b \u0432 \u043f\u0440\u043e\u0448\u043b\u043e\u0439 \u0432\u0435\u0440\u0441\u0438\u0438);<\/p>\n<\/li>\n<li>\n<p>\u0423\u043c\u0435\u0442\u044c \u043f\u0430\u0440\u0441\u0438\u0442\u044c \u043c\u043d\u043e\u0433\u043e \u0444\u0430\u0439\u043b\u043e\u0432 \u0440\u0435\u0435\u0441\u0442\u0440\u0430 \u0441 \u0440\u0430\u0437\u043d\u044b\u0445 \u0445\u043e\u0441\u0442\u043e\u0432 (\u043a\u0430\u043a \u0434\u043b\u044f compromise assessment, \u0442\u0430\u043a \u0438 \u0434\u043b\u044f \u043c\u0430\u0441\u0441\u043e\u0432\u043e\u0433\u043e \u043a\u043e\u043c\u043f\u044c\u044e\u0442\u0435\u0440\u043d\u043e\u0433\u043e \u0438\u043d\u0446\u0438\u0434\u0435\u043d\u0442\u0430);<\/p>\n<\/li>\n<li>\n<p>\u0418\u043c\u0435\u0442\u044c \u0443\u0434\u043e\u0431\u043d\u044b\u0439 \u0447\u0435\u043b\u043e\u0432\u0435\u043a\u043e\u0447\u0438\u0442\u0430\u0435\u043c\u044b\u0439 \u0432\u0438\u0434 \u0438 \u043d\u0435 \u0442\u0440\u0435\u0431\u043e\u0432\u0430\u0442\u044c \u043c\u043d\u043e\u0433\u043e \u0434\u0435\u0439\u0441\u0442\u0432\u0438\u0439 \u0434\u043b\u044f \u043e\u0431\u0440\u0430\u0431\u043e\u0442\u043a\u0438 (\u0447\u0442\u043e\u0431\u044b \u043d\u0435 \u0431\u044b\u043b\u043e \u0431\u043e\u043b\u044c\u043d\u043e \u0440\u0430\u0431\u043e\u0442\u0430\u0442\u044c).<\/p>\n<\/li>\n<\/ul>\n<h3>\u041f\u0440\u0435\u0434\u043b\u043e\u0436\u0435\u043d\u043d\u043e\u0435 \u0440\u0435\u0448\u0435\u043d\u0438\u0435<\/h3>\n<p><a class=\"anchor\" name=\"%D0%9F%D1%80%D0%B5%D0%B4%D0%BB%D0%BE%D0%B6%D0%B5%D0%BD%D0%BD%D0%BE%D0%B5%20%D1%80%D0%B5%D1%88%D0%B5%D0%BD%D0%B8%D0%B5\" id=\"\u041f\u0440\u0435\u0434\u043b\u043e\u0436\u0435\u043d\u043d\u043e\u0435 \u0440\u0435\u0448\u0435\u043d\u0438\u0435\"><\/a><\/p>\n<p>\u0412 \u0440\u0435\u0437\u0443\u043b\u044c\u0442\u0430\u0442\u0435 \u043f\u0440\u043e\u0431 \u0438 \u043e\u0448\u0438\u0431\u043e\u043a \u0431\u044b\u043b \u0440\u0435\u0430\u043b\u0438\u0437\u043e\u0432\u0430\u043d \u0441\u043b\u0435\u0434\u0443\u044e\u0449\u0438\u0439 \u0430\u0432\u0442\u043e\u043c\u0430\u0442\u0438\u0437\u0438\u0440\u043e\u0432\u0430\u043d\u043d\u044b\u0439 \u043a\u043e\u043d\u0432\u0435\u0439\u0435\u0440 \u043f\u043e \u043e\u0431\u0440\u0430\u0431\u043e\u0442\u043a\u0435 \u0444\u0430\u0439\u043b\u043e\u0432 \u0440\u0435\u0435\u0441\u0442\u0440\u0430:<\/p>\n<ol>\n<li>\n<p>\u0421 \u0445\u043e\u0441\u0442\u0430(-\u043e\u0432) \u0432\u044b\u0433\u0440\u0443\u0436\u0430\u044e\u0442\u0441\u044f \u0444\u0430\u0439\u043b\u044b \u0440\u0435\u0435\u0441\u0442\u0440\u0430 (\u0432 \u043c\u043e\u0435\u043c \u0441\u043b\u0443\u0447\u0430\u0435 \u0441 \u043f\u043e\u043c\u043e\u0449\u044c\u044e <a href=\"https:\/\/www.kroll.com\/en\/insights\/publications\/cyber\/kroll-artifact-parser-extractor-kape\" rel=\"noopener noreferrer nofollow\">KAPE<\/a>, \u0432 \u043a\u0430\u0442\u0430\u043b\u043e\u0433 <code>E:\\temp\\%\u0438\u043c\u044f_\u0445\u043e\u0441\u0442\u0430%\\<\/code>);<\/p>\n<\/li>\n<\/ol>\n<details class=\"spoiler\">\n<summary>\u041f\u0440\u0438\u043c\u0435\u0440 \u0441\u043a\u0440\u0438\u043f\u0442\u0430.bat, \u043b\u0435\u0436\u0430\u0449\u0435\u0433\u043e \u0440\u044f\u0434\u043e\u043c \u0441 \u043f\u0430\u043f\u043a\u043e\u0439 \u0441 KAPE \u043f\u043e \u043f\u043e\u043b\u0443\u0447\u0435\u043d\u0438\u044e \u0440\u0435\u0435\u0441\u0442\u0440\u0430<\/summary>\n<div class=\"spoiler__content\">\n<pre><code class=\"bash\">set \u201cdest_folder=E:\\temp\\%COMPUTERNAME% md \u201c%dest_folder%\u201d cd \/d%~dp0\u00a0 KAPE\\kape.exe \u2011tsource C: \u2011tdest%dest_folder% \u2011target RegistryHivesOther,RegistryHivesSystem,RegistryHivesUser<\/code><\/pre>\n<\/p>\n<\/div>\n<\/details>\n<ol start=\"2\">\n<li>\n<p>\u0421\u043a\u0440\u0438\u043f\u0442\u043e\u043c \u043d\u0430 Python \u043f\u0435\u0440\u0435\u043c\u0435\u0449\u0430\u044e\u0442\u0441\u044f \u0444\u0430\u0439\u043b\u044b \u0440\u0435\u0435\u0441\u0442\u0440\u0430 \u0432 \u043a\u0430\u0442\u0430\u043b\u043e\u0433: <code>E:\\temp\\%\u0438\u043c\u044f_\u0445\u043e\u0441\u0442\u0430%\\Reg\\<\/code>, \u0430 \u0444\u0430\u0439\u043b\u044b \u0440\u0435\u0435\u0441\u0442\u0440\u0430 NTUSER \u0438 UsrClass \u043a\u0430\u0436\u0434\u043e\u0433\u043e \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044f, \u043f\u0435\u0440\u0435\u0438\u043c\u0435\u043d\u043e\u0432\u044b\u0432\u0430\u044e\u0442\u0441\u044f \u043d\u0430 \u0438\u043c\u044f \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044f \u0432\u043b\u0430\u0434\u0435\u043b\u044c\u0446\u0430 \u0438 \u043e\u043a\u0430\u0437\u044b\u0432\u0430\u044e\u0442\u0441\u044f \u0432 \u043a\u0430\u0442\u0430\u043b\u043e\u0433\u0435: <code>E:\\temp\\%\u0438\u043c\u044f_\u0445\u043e\u0441\u0442\u0430%\\NTUSER\\<\/code> \u0438 <code>E:\\temp\\%\u0438\u043c\u044f_\u0445\u043e\u0441\u0442\u0430%\\UsrClass\\<\/code>, \u0441\u043e\u043e\u0442\u0432\u0435\u0442\u0441\u0442\u0432\u0435\u043d\u043d\u043e (\u0435\u0441\u043b\u0438 \u0445\u043e\u0441\u0442\u043e\u0432 \u043d\u0435\u043c\u043d\u043e\u0433\u043e, \u0442\u043e \u043c\u043e\u0436\u043d\u043e \u0438 \u0432\u0440\u0443\u0447\u043d\u0443\u044e \u0441\u0434\u0435\u043b\u0430\u0442\u044c).<\/p>\n<ul>\n<li>\n<p>\u0412 \u043a\u0430\u0442\u0430\u043b\u043e\u0433\u0430\u0445 \u0434\u043e\u043b\u0436\u043d\u044b \u0442\u0430\u043a\u0436\u0435 \u043b\u0435\u0436\u0430\u0442\u044c \u0444\u0430\u0439\u043b\u044b <code>%\u0420\u0435\u0435\u0441\u0442\u0440%.LOG1<\/code> \u0438 <code>%\u0420\u0435\u0435\u0441\u0442\u0440%.LOG2<\/code>, \u0434\u043b\u044f \u043a\u043e\u0440\u0440\u0435\u043a\u0442\u043d\u043e\u0433\u043e \u043f\u0430\u0440\u0441\u0438\u043d\u0433\u0430 \u0441\u044b\u0440\u044b\u0445 \u0434\u0430\u043d\u043d\u044b\u0445.<\/p>\n<\/li>\n<\/ul>\n<\/li>\n<\/ol>\n<details class=\"spoiler\">\n<summary>\u041f\u0440\u0438\u043c\u0435\u0440 \u0441\u043a\u0440\u0438\u043f\u0442\u0430 \u043f\u043e \u043f\u0435\u0440\u0435\u043c\u0435\u0449\u0435\u043d\u0438\u044e \u0444\u0430\u0439\u043b\u043e\u0432 \u0440\u0435\u0435\u0441\u0442\u0440\u0430<\/summary>\n<div class=\"spoiler__content\">\n<pre><code class=\"python\">import os import shutil for host_dir in os.scandir(r'E:\\temp'): # \u041e\u0431\u0445\u043e\u0434 \u0432\u0441\u0435\u0445 \u043f\u0430\u043f\u043e\u043a \u0445\u043e\u0441\u0442\u043e\u0432     if host_dir.is_dir():         # \u041f\u0435\u0440\u0435\u043c\u0435\u0449\u0435\u043d\u0438\u0435 \u0420\u0435\u0435\u0441\u0442\u0440\u0430         src_path = host_dir.path + '\\C\\Windows\\System32\\config'         dst_path = host_dir.path + '\\Reg'         if os.path.exists(src_path):             os.makedirs(dst_path, exist_ok=True)             for file in os.scandir(src_path):                 shutil.move(file.path, dst_path)         # \u041f\u0435\u0440\u0435\u043c\u0435\u0449\u0435\u043d\u0438\u0435 NTUSER         users_folder = host_dir.path + r'\\C\\Users'         if os.path.exists(users_folder):             for user_dir in os.scandir(users_folder):                 if user_dir.is_dir():                     for file_name in [\"NTUSER.DAT\", \"ntuser.dat.LOG1\", \"ntuser.dat.LOG2\"]:                         file_path = os.path.join(user_dir.path, file_name)                         if os.path.exists(file_path):                             # \u041f\u0435\u0440\u0435\u043c\u0435\u0449\u0430\u0435\u043c \u0444\u0430\u0439\u043b \u0432 \\NTUSER\\                             dst_folder = host_dir.path + r'\\NTUSER'                             os.makedirs(dst_folder, exist_ok=True)                             if file_name == \"NTUSER.DAT\":                                 dst_file = os.path.join(dst_folder, user_dir.name + '.' + file_name.split('.')[-1])                             else:                                 dst_file = os.path.join(dst_folder, user_dir.name + '.' + file_name.split('.')[-2].upper() + '.' + file_name.split('.')[-1])                             shutil.move(file_path, dst_file)         # \u041f\u0435\u0440\u0435\u043c\u0435\u0449\u0435\u043d\u0438\u0435 UsrClass         users_folder = host_dir.path + r'\\C\\Users'         if os.path.exists(users_folder):             for user_dir in os.scandir(users_folder):                 if user_dir.is_dir():                                                        for file_name in [\"UsrClass.dat\", \"UsrClass.dat.LOG1\", \"UsrClass.dat.LOG2\"]:                         file_path = os.path.join(user_dir.path, 'AppData\\\\Local\\\\Microsoft\\\\Windows\\\\', file_name)                         if os.path.exists(file_path):                             # \u041f\u0435\u0440\u0435\u043c\u0435\u0449\u0430\u0435\u043c \u0444\u0430\u0439\u043b \u0432 \\UsrClass\\                             dst_folder = host_dir.path + r'\\UsrClass'                             os.makedirs(dst_folder, exist_ok=True)                             if file_name == \"UsrClass.dat\":                                 dst_file = os.path.join(dst_folder, user_dir.name + '.' + file_name.split('.')[-1])                             else:                                 dst_file = os.path.join(dst_folder, user_dir.name + '.' + file_name.split('.')[-2].upper() + '.' + file_name.split('.')[-1])                             shutil.move(file_path, dst_file)<\/code><\/pre>\n<\/p>\n<\/div>\n<\/details>\n<ol start=\"3\">\n<li>\n<p>\u0414\u0430\u043b\u0435\u0435 \u0437\u0430\u043f\u0443\u0441\u043a\u0430\u0435\u0442\u0441\u044f \u043a\u043e\u043d\u0432\u0435\u0439\u0435\u0440 \u0441\u043a\u0440\u0438\u043f\u0442\u043e\u0432 \u043d\u0430 Python:<\/p>\n<ul>\n<li>\n<p>\u0412\u043c\u0435\u0441\u0442\u043e \u0441\u043e\u0442\u043d\u0438 \u0432\u0435\u0442\u043e\u043a \u0440\u0435\u0435\u0441\u0442\u0440\u0430, \u0443\u043a\u0430\u0437\u0430\u043d\u043d\u044b\u0445 \u0432\u044b\u0448\u0435 \u0432 \u0441\u0442\u0430\u0442\u044c\u0435, \u0432\u044b\u0433\u0440\u0443\u0436\u0430\u0435\u0442\u0441\u044f \u0432\u0441\u0435\u0433\u043e \u043d\u0435\u0441\u043a\u043e\u043b\u044c\u043a\u043e \u0434\u0435\u0441\u044f\u0442\u043a\u043e\u0432, \u0438\u0437-\u0437\u0430 \u0442\u043e\u0433\u043e, \u0447\u0442\u043e \u0443\u0431\u0440\u0430\u043d\u044b \u043c\u043d\u043e\u0433\u0438\u0435 \u0432\u0435\u0442\u043a\u0438, \u0443 \u043a\u043e\u0442\u043e\u0440\u044b\u0445 \u0435\u0441\u0442\u044c \u043e\u0431\u0449\u0430\u044f \u0440\u043e\u0434\u0438\u0442\u0435\u043b\u044c\u0441\u043a\u0430\u044f. \u0412\u044b\u0433\u0440\u0443\u0436\u0430\u0442\u044c \u043e\u043a\u043e\u043b\u043e \u0441\u043e\u0442\u043d\u0438 \u0432\u0435\u0442\u043e\u043a \u043e\u043a\u0430\u0437\u0430\u043b\u043e\u0441\u044c \u0434\u043e\u0432\u043e\u043b\u044c\u043d\u043e \u0434\u043e\u043b\u0433\u0438\u043c \u0437\u0430\u043d\u044f\u0442\u0438\u0435\u043c (\u043d\u0430 \u043a\u0430\u0436\u0434\u044b\u0439 \u043a\u043e\u043c\u043f\u044c\u044e\u0442\u0435\u0440 \u0442\u0440\u0430\u0442\u0438\u043b\u043e\u0441\u044c \u043f\u043e 20 \u043c\u0438\u043d\u0443\u0442), \u0442.\u043a. \u043d\u0430 \u043a\u0430\u0436\u0434\u0443\u044e \u0432\u0435\u0442\u043a\u0443 \u043f\u0440\u0438\u0445\u043e\u0434\u0438\u0442\u0441\u044f \u043e\u0442\u0434\u0435\u043b\u044c\u043d\u044b\u0439 \u0437\u0430\u043f\u0443\u0441\u043a \u0443\u0442\u0438\u043b\u0438\u0442\u044b \u0438 \u043f\u0440\u043e\u0432\u0435\u0440\u043a\u0430 \u043d\u0430\u043b\u0438\u0447\u0438\u044f \u0434\u0430\u043d\u043d\u043e\u0439 \u0432\u0435\u0442\u043a\u0438 \u0432 \u0444\u0430\u0439\u043b\u0435 \u0440\u0435\u0435\u0441\u0442\u0440\u0430.<\/p>\n<\/li>\n<li>\n<p>\u0412 \u0442\u0435\u043a\u0443\u0449\u0435\u0439 \u0440\u0435\u0430\u043b\u0438\u0437\u0430\u0446\u0438\u0438 \u0441\u043a\u0440\u0438\u043f\u0442\u043e\u0432, \u043d\u0430 \u043a\u0430\u0436\u0434\u0443\u044e \u0441\u0438\u0441\u0442\u0435\u043c\u0443 \u0442\u0440\u0430\u0442\u0438\u0442\u0441\u044f \u043d\u0430 \u043e\u0431\u0440\u0430\u0431\u043e\u0442\u043a\u0443, \u0432 \u0441\u0440\u0435\u0434\u043d\u0435\u043c, \u043f\u043e 3 \u043c\u0438\u043d\u0443\u0442\u044b.<\/p>\n<\/li>\n<li>\n<p>\u041f\u0440\u0438 \u043d\u0435\u043e\u0431\u0445\u043e\u0434\u0438\u043c\u043e\u0441\u0442\u0438, \u0432 \u043a\u043e\u0434 \u043f\u0440\u043e\u0433\u0440\u0430\u043c\u043c\u044b \u043b\u0435\u0433\u043a\u043e \u0432\u043d\u043e\u0441\u044f\u0442\u0441\u044f \u0434\u043e\u043f\u043e\u043b\u043d\u0438\u0442\u0435\u043b\u044c\u043d\u044b\u0435 \u0432\u0435\u0442\u043a\u0438 \u0440\u0435\u0435\u0441\u0442\u0440\u0430, \u043f\u0440\u0438 \u043e\u0431\u043d\u0430\u0440\u0443\u0436\u0435\u043d\u0438\u0438 \u043d\u043e\u0432\u044b\u0445 \u0442\u0435\u0445\u043d\u0438\u043a, \u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u0435\u0435 \u0431\u0443\u0434\u0443\u0442 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u044c.<\/p>\n<\/li>\n<\/ul>\n<\/li>\n<\/ol>\n<details class=\"spoiler\">\n<summary>1. \u0417\u0430\u043f\u0443\u0441\u043a RECmd \u0434\u043b\u044f \u043d\u0435\u043e\u0431\u0445\u043e\u0434\u0438\u043c\u044b\u0445 \u0444\u0430\u0439\u043b\u043e\u0432 \u0440\u0435\u0435\u0441\u0442\u0440\u0430, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u0432\u044b\u0433\u0440\u0443\u0436\u0430\u0435\u0442 \u0442\u043e\u043b\u044c\u043a\u043e \u043d\u0435\u043e\u0431\u0445\u043e\u0434\u0438\u043c\u044b\u0435 \u0432\u0435\u0442\u043a\u0438<\/summary>\n<div class=\"spoiler__content\">\n<pre><code class=\"python\">import os import subprocess from pathlib import Path  # \u0421\u043f\u0438\u0441\u043e\u043a \u043a\u043b\u044e\u0447\u0435\u0439 \u0440\u0435\u0435\u0441\u0442\u0440\u0430, \u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u043d\u0443\u0436\u043d\u043e \u043f\u0430\u0440\u0441\u0438\u0442\u044c registry_keys_software = [     \"Classes\",     \"Microsoft\\\\Active Setup\\\\Installed Components\",     \"Microsoft\\\\Command Processor\\\\Autorun\",     \"Microsoft\\\\Ctf\\\\LangBarAddin\",     \"Microsoft\\\\Internet Explorer\\\\Extensions\",     \"Microsoft\\\\Netsh\",     \"Microsoft\\\\Office\",     \"Microsoft\\\\Office test\\\\Special\\\\Perf\",     \"Microsoft\\\\Windows CE Services\\\\AutoStartOnConnect\\\\MicrosoftActiveSync\",     \"Microsoft\\\\Windows CE Services\\\\AutoStartOnDisconnect\\\\MicrosoftActiveSync\",     \"Microsoft\\\\Windows NT\\\\CurrentVersion\",     \"Microsoft\\\\Windows\\\\CurrentVersion\",     \"Microsoft\\\\Windows\\\\Windows Error Reporting\\\\Hangs\\\\ReflectDebugger\",     \"Policies\\\\Microsoft\\\\Windows\\\\Control Panel\\\\Desktop\",     \"Policies\\\\Microsoft\\\\Windows\\\\System\\\\Scripts\",     \"Wow6432Node\\\\Microsoft\\\\Windows\\\\CurrentVersion\",     \"Wow6432Node\\\\Microsoft\\\\Windows NT\\\\CurrentVersion\" ]  registry_keys_system = [     \"ControlSet001\\\\Control\\\\BootVerificationProgram\",     \"ControlSet001\\\\Control\\\\Lsa\\\\Notification Packages\",     \"ControlSet001\\\\Control\\\\Lsa\\\\OSConfig\\\\Security Packages\",     \"ControlSet001\\\\Control\\\\Lsa\\\\Security Packages\",     \"ControlSet001\\\\Control\\\\NetworkProvider\\\\Order\",     \"ControlSet001\\\\Control\\\\Print\\\\Environments\",     \"ControlSet001\\\\Control\\\\Print\\\\Monitors\",     \"ControlSet001\\\\Control\\\\SafeBoot\\\\AlternateShell\",     \"ControlSet001\\\\Control\\\\ServiceControlManagerExtension\",     \"ControlSet001\\\\Control\\\\Session Manager\",     \"ControlSet001\\\\Control\\\\Terminal Server\\\\Wds\\\\rdpwd\\\\StartupPrograms\",     \"ControlSet001\\\\Control\\\\Terminal Server\\\\WinStations\\\\RDP-Tcp\\\\InitialProgram\",     \"ControlSet001\\\\Services\",     \"Setup\\\\CmdLine\" ]  registry_keys_ntuserdat = [     \"Software\\\\Microsoft\",     \"Software\\\\Policies\\\\Microsoft\\\\Windows\\\\System\\\\Scripts\",     \"Software\\\\Wow6432Node\\\\Microsoft\\\\Windows\\\\CurrentVersion\",     \"Software\\\\Wow6432Node\\\\Microsoft\\\\Windows NT\\\\CurrentVersion\",     \"System\\\\CurrentControlSet\\\\Control\",     \"System\\\\CurrentControlSet\\\\Services\",     \"System\\\\Setup\\\\CmdLine\",     \"Environment\",     \"Control Panel\\\\Desktop\" ]  registry_keys_usrclassdat = [     \"ROOT\" ]  base_dir = Path('E:\/temp') # \u0411\u0430\u0437\u043e\u0432\u0430\u044f \u043f\u0430\u043f\u043a\u0430, \u0433\u0434\u0435 \u0432\u0441\u0435 \u043b\u0435\u0436\u0438\u0442 reg_dir_name = 'Reg' # \u0412 \u043a\u0430\u043a\u043e\u0439 \u043f\u0430\u043f\u043a\u0435 \u0438\u0441\u043a\u0430\u0442\u044c \u043a\u0443\u0441\u0442\u044b \u0440\u0435\u0435\u0441\u0442\u0440\u0430 \u0445\u043e\u0441\u0442\u0430 ntuser_dir_name = 'NTUSER' # \u0412 \u043a\u0430\u043a\u043e\u0439 \u043f\u0430\u043f\u043a\u0435 \u0438\u0441\u043a\u0430\u0442\u044c \u043a\u0443\u0441\u0442\u044b \u0440\u0435\u0435\u0441\u0442\u0440\u0430 \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u0435\u0439 usrclass_dir_name = 'UsrClass' special_regs = ['SOFTWARE', 'SYSTEM']  # \u041a\u0430\u043a\u0438\u0435 \u043a\u0443\u0441\u0442\u044b \u0440\u0435\u0435\u0441\u0442\u0440\u0430 \u0445\u043e\u0441\u0442\u0430 \u043f\u0430\u0440\u0441\u0438\u0442\u044c  # \u041e\u0431\u0445\u043e\u0434 \u043f\u043e\u0434\u0434\u0438\u0440\u0435\u043a\u0442\u043e\u0440\u0438\u0439 \u0431\u0430\u0437\u043e\u0432\u043e\u0439 \u0434\u0438\u0440\u0435\u043a\u0442\u043e\u0440\u0438\u0438 for host_dir in base_dir.iterdir(): # \u043f\u043e\u0434\u043a\u0430\u0442\u0430\u043b\u043e\u0433 - \u0438\u043c\u044f \u0445\u043e\u0441\u0442\u0430     if host_dir.is_dir():         host_name = host_dir.name         reg_dir = host_dir \/ reg_dir_name # \u041f\u043e\u0438\u0441\u043a \u043f\u0430\u043f\u043a\u0438 \u043a\u0443\u0441\u0442\u043e\u0432 \u0440\u0435\u0435\u0441\u0442\u0440\u0430 \u0445\u043e\u0441\u0442\u0430         ntuser_dir = host_dir \/ ntuser_dir_name # \u041f\u043e\u0438\u0441\u043a \u043f\u0430\u043f\u043a\u0438 \u043a\u0443\u0441\u0442\u043e\u0432 \u0440\u0435\u0435\u0441\u0442\u0440\u0430 \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044f         usrclass_dir = host_dir \/ usrclass_dir_name         if reg_dir.exists():             for reg_name in special_regs: # \u041e\u0431\u0445\u043e\u0434 software \u0438 system                 reg_file = reg_dir \/ reg_name                  if reg_file.exists():                     output_dir = base_dir \/ 'ToElastic' \/ host_name # \u041e\u043f\u0440\u0435\u0434\u0435\u043b\u0435\u043d\u0438\u0435 \u0434\u0438\u0440\u0435\u043a\u0442\u043e\u0440\u0438\u0438 \u043a\u0443\u0434\u0430 \u0441\u043b\u0438\u0432\u0430\u0442\u044c \u0440\u0435\u0437\u0443\u043b\u044c\u0442\u0430\u0442\u044b (\u0437\u0430\u043a\u0440\u0435\u043f\u0435\u043b\u0435\u043d\u0438\u0435 \u0437\u0430 \u0438\u043c\u0435\u043d\u0435\u043c \u0445\u043e\u0441\u0442\u0430)                     output_dir.mkdir(parents=True, exist_ok=True)                     if reg_name == \"SOFTWARE\": # \u041f\u0430\u0440\u0441\u0438\u043d\u0433 Software                        for key in registry_keys_software: # \u0422\u043e\u043b\u044c\u043a\u043e \u043d\u0443\u0436\u043d\u044b\u0435 \u0432\u0435\u0442\u043a\u0438 \u0440\u0435\u0435\u0441\u0442\u0440\u0430                             json_file_name = key.replace('\\\\', '%5C').replace(' ', '') # \u0417\u0430\u043c\u0435\u043d\u0430 \u043f\u043b\u043e\u0445\u0438\u0445 \u0441\u0438\u043c\u0432\u043e\u043b\u043e\u0432, \u043c\u0435\u0448\u0430\u044e\u0449\u0438\u0445 \u0440\u0430\u0431\u043e\u0442\u0435                              # \u0417\u0430\u043f\u0443\u0441\u043a \u043a\u043e\u043c\u0430\u043d\u0434\u044b RECmd.exe                             cmd = (                                 f'E:\/Scripts\/2.Reg\/RECmd.exe -f \"{str(reg_file)}\" --kn \"{key}\" --details --json \"{output_dir}\" --jsonf \"Reg-Software%5C{str(json_file_name)}.json\"'                             )                             with open(os.devnull, 'w') as FNULL:                                 subprocess.run(cmd, stderr=subprocess.STDOUT, stdout=FNULL)                     if reg_name == \"SYSTEM\": # \u0410\u043d\u0430\u043b\u043e\u0433\u0438\u0447\u043d\u043e Software                         for key in registry_keys_system: # \u0422\u043e\u043b\u044c\u043a\u043e \u043d\u0443\u0436\u043d\u044b\u0435 \u0432\u0435\u0442\u043a\u0438 \u0440\u0435\u0435\u0441\u0442\u0440\u0430                             json_file_name = key.replace('\\\\', '%5C').replace(' ', '')                             cmd = (                                 f'E:\/Scripts\/2.Reg\/RECmd.exe -f \"{str(reg_file)}\" --kn \"{key}\" --details --json \"{output_dir}\" --jsonf \"Reg-System%5C{str(json_file_name)}.json\"'                             )                             with open(os.devnull, 'w') as FNULL:                                 subprocess.run(cmd, stderr=subprocess.STDOUT, stdout=FNULL)         if ntuser_dir.exists(): # \u041e\u0431\u0445\u043e\u0434 \u043a\u0443\u0441\u0442\u043e\u0432 \u0440\u0435\u0435\u0441\u0442\u0440\u0430 \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u0435\u0439             for ntuser_file in ntuser_dir.iterdir():                 if ntuser_file.is_file() and not ntuser_file.name.endswith((\"LOG1\", \"LOG2\")): # \u041d\u0435 \u043e\u0431\u0445\u043e\u0434\u0438\u0442\u044c \u0442\u0440\u0435\u0431\u0443\u044e\u0449\u0438\u0435\u0441\u044f \u0434\u043b\u044f \u043f\u0430\u0440\u0441\u0438\u043d\u0433\u0430 .dat.LOG                     output_dir = base_dir \/ 'ToElastic' \/ host_name # \u041e\u043f\u0440\u0435\u0434\u0435\u043b\u0435\u043d\u0438\u0435 \u0434\u0438\u0440\u0435\u043a\u0442\u043e\u0440\u0438\u0438 \u043a\u0443\u0434\u0430 \u0441\u043b\u0438\u0432\u0430\u0442\u044c \u0440\u0435\u0437\u0443\u043b\u044c\u0442\u0430\u0442\u044b (\u0437\u0430\u043a\u0440\u0435\u043f\u0435\u043b\u0435\u043d\u0438\u0435 \u0437\u0430 \u0438\u043c\u0435\u043d\u0435\u043c \u0445\u043e\u0441\u0442\u0430)                     output_dir.mkdir(parents=True, exist_ok=True)                     for key in registry_keys_ntuserdat: # \u0422\u043e\u043b\u044c\u043a\u043e \u043d\u0443\u0436\u043d\u044b\u0435 \u0432\u0435\u0442\u043a\u0438 \u0440\u0435\u0435\u0441\u0442\u0440\u0430                         json_file_name = f\"Reg-Ntuser-{ntuser_file.stem}\" # \u041e\u043f\u0440\u0435\u0434\u0435\u043b\u0435\u043d\u0438\u0435 \u0438\u043c\u0435\u043d\u0438 \u043d\u043e\u0432\u043e\u0433\u043e \u0444\u0430\u0439\u043b\u0430, \u0434\u043b\u044f \u0441\u043e\u0445\u0440\u0430\u043d\u0435\u043d\u0438\u044f \u0438\u043c\u0435\u043d\u0438 \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044f                         json_file_name = json_file_name.replace('.dat', '') + \"%5C\"                         json_file_name += key.replace('\\\\', '%5C').replace(' ', '')                          # \u0417\u0430\u043f\u0443\u0441\u043a \u043a\u043e\u043c\u0430\u043d\u0434\u044b RECmd.exe                         cmd = (                             f'E:\/Scripts\/2.Reg\/RECmd.exe -f \"{str(ntuser_file)}\" --kn \"{key}\" --details --json \"{output_dir}\" --jsonf \"{json_file_name}.json\"'                         )                         with open(os.devnull, 'w') as FNULL:                             subprocess.run(cmd, stderr=subprocess.STDOUT, stdout=FNULL)          if usrclass_dir.exists(): # \u041e\u0431\u0445\u043e\u0434 \u043a\u0443\u0441\u0442\u043e\u0432 \u0440\u0435\u0435\u0441\u0442\u0440\u0430 \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u0435\u0439             for usrclass_file in usrclass_dir.iterdir():                 if usrclass_file.is_file() and not usrclass_file.name.endswith((\"LOG1\", \"LOG2\")): # \u041d\u0435 \u043e\u0431\u0445\u043e\u0434\u0438\u0442\u044c \u0442\u0440\u0435\u0431\u0443\u044e\u0449\u0438\u0435\u0441\u044f \u0434\u043b\u044f \u043f\u0430\u0440\u0441\u0438\u043d\u0433\u0430 .dat.LOG                     output_dir = base_dir \/ 'ToElastic' \/ host_name # \u041e\u043f\u0440\u0435\u0434\u0435\u043b\u0435\u043d\u0438\u0435 \u0434\u0438\u0440\u0435\u043a\u0442\u043e\u0440\u0438\u0438 \u043a\u0443\u0434\u0430 \u0441\u043b\u0438\u0432\u0430\u0442\u044c \u0440\u0435\u0437\u0443\u043b\u044c\u0442\u0430\u0442\u044b (\u0437\u0430\u043a\u0440\u0435\u043f\u0435\u043b\u0435\u043d\u0438\u0435 \u0437\u0430 \u0438\u043c\u0435\u043d\u0435\u043c \u0445\u043e\u0441\u0442\u0430)                     output_dir.mkdir(parents=True, exist_ok=True)                     for key in registry_keys_usrclassdat: # \u0422\u043e\u043b\u044c\u043a\u043e \u043d\u0443\u0436\u043d\u044b\u0435 \u0432\u0435\u0442\u043a\u0438 \u0440\u0435\u0435\u0441\u0442\u0440\u0430                         json_file_name = f\"Reg-UsrClass-{usrclass_file.stem}\" # \u041e\u043f\u0440\u0435\u0434\u0435\u043b\u0435\u043d\u0438\u0435 \u0438\u043c\u0435\u043d\u0438 \u043d\u043e\u0432\u043e\u0433\u043e \u0444\u0430\u0439\u043b\u0430, \u0434\u043b\u044f \u0441\u043e\u0445\u0440\u0430\u043d\u0435\u043d\u0438\u044f \u0438\u043c\u0435\u043d\u0438 \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044f                         json_file_name = json_file_name.replace('.dat', '') + \"%5C\"                         json_file_name += key.replace('\\\\', '%5C').replace(' ', '')                          # \u0417\u0430\u043f\u0443\u0441\u043a \u043a\u043e\u043c\u0430\u043d\u0434\u044b RECmd.exe                         cmd = (                             f'E:\/Scripts\/2.Reg\/RECmd.exe -f \"{str(usrclass_file)}\" --kn \"{key}\" --details --json \"{output_dir}\" --jsonf \"{json_file_name}.json\"'                         )                         with open(os.devnull, 'w') as FNULL:                             subprocess.run(cmd, stderr=subprocess.STDOUT, stdout=FNULL)<\/code><\/pre>\n<\/p>\n<\/div>\n<\/details>\n<details class=\"spoiler\">\n<summary>2. \u0412\u044b\u0433\u0440\u0443\u0436\u0435\u043d\u043d\u044b\u0435 \u0432\u0435\u0442\u043a\u0438 \u043f\u0440\u0438\u0432\u043e\u0434\u044f\u0442\u0441\u044f \u0432 \u0430\u0434\u0435\u043a\u0432\u0430\u0442\u043d\u044b\u0439 \u0432\u0438\u0434 (\u0443\u0434\u0430\u043b\u044f\u044e\u0442\u0441\u044f \u043d\u0435\u043d\u0443\u0436\u043d\u044b\u0435 \u043f\u043e\u043b\u044f \u0438 \u0437\u043d\u0430\u0447\u0435\u043d\u0438\u044f, \u0434\u0440\u0435\u0432\u043e\u0432\u0438\u0434\u043d\u0430\u044f \u0441\u0442\u0440\u0443\u043a\u0442\u0443\u0440\u0430 \u0440\u0435\u0435\u0441\u0442\u0440\u0430 \u043f\u0440\u0438\u0432\u043e\u0434\u0438\u0442\u0441\u044f \u0432 ndjson \u0432\u0438\u0434, \u0433\u0434\u0435 \u043d\u0430 \u043e\u0434\u0438\u043d \u043a\u043b\u044e\u0447 \u043f\u0440\u0438\u0445\u043e\u0434\u0438\u0442\u0441\u044f \u043e\u0434\u043d\u0430 \u0441\u0442\u0440\u043e\u0447\u043a\u0430) \u0438 \u0432\u0441\u0435 \u0444\u0430\u0439\u043b\u044b \u043e\u0431\u044a\u0435\u0434\u0438\u043d\u044f\u044e\u0442\u0441\u044f \u0432 \u043e\u0434\u0438\u043d \u0434\u043b\u044f \u043a\u0430\u0436\u0434\u043e\u0433\u043e \u0445\u043e\u0441\u0442\u0430<\/summary>\n<div class=\"spoiler__content\">\n<pre><code class=\"python\">import json import os  # \u0418\u0441\u043a\u043b\u044e\u0447\u0435\u043d\u0438\u044f \u043f\u043e \u043f\u043e\u043b\u044f\u043c ValueName \u0438 ValueData, \u0434\u043b\u044f \u0443\u0434\u0430\u043b\u0435\u043d\u0438\u044f with open(\"value_name_to_remove.txt\", \"r\") as file:     value_name_to_remove = [line.strip() for line in file.readlines()]  with open(\"value_data_to_remove.txt\", \"r\") as file:     value_data_to_remove = [line.strip() for line in file.readlines()]  def remove_fields(data): # \u0423\u0434\u0430\u043b\u0435\u043d\u0438\u0435 \u043d\u0435\u043d\u0443\u0436\u043d\u044b\u0445 \u043f\u043e\u043b\u0435\u0439 \"DataRaw\" \u0438 \"Slack\", \u0435\u0441\u043b\u0438 \u043e\u043d\u0438 \u043f\u0440\u0438\u0441\u0443\u0442\u0441\u0442\u0432\u0443\u044e\u0442     if isinstance(data, dict):         data.pop(\"DataRaw\", None)         data.pop(\"Slack\", None)         for key, value in data.items():             data[key] = remove_fields(value)     elif isinstance(data, list):         data = [remove_fields(item) for item in data]     return data  def remove_values(data):# \u0423\u0434\u0430\u043b\u0435\u043d\u0438\u0435 \u043d\u0435\u043d\u0443\u0436\u043d\u044b\u0445 \u0437\u043d\u0430\u0447\u0435\u043d\u0438\u0439 \u0438 \u043e\u0441\u0442\u0430\u0432\u043b\u0435\u043d\u0438\u0435 \u043d\u0443\u0436\u043d\u044b\u0445 (\u0432 \u043a\u043e\u0442\u043e\u0440\u044b\u0445 \u043c\u043e\u0436\u0435\u0442 \u0431\u044b\u0442\u044c \u043f\u0443\u0442\u044c\/\u0444\u0430\u0439\u043b)     value_types_to_keep = [\"RegSz\", \"RegExpandSz\", \"RegMultiSz\"]  # \u0423\u043a\u0430\u0437\u0430\u043d\u043d\u044b\u0435 \u0442\u0438\u043f\u044b \u0437\u043d\u0430\u0447\u0435\u043d\u0438\u044f \u043e\u0441\u0442\u0430\u0432\u043b\u044f\u0435\u043c     if \"Values\" in data:         values = data[\"Values\"]         filtered_values = [value for value in values if ((value[\"ValueType\"] in value_types_to_keep) and (not value[\"ValueName\"] in value_name_to_remove) and (not value[\"ValueData\"] in value_data_to_remove) and (not (value[\"ValueData\"].isdigit() or not value[\"ValueData\"]))) or value[\"ValueName\"].endswith(\".sdb\")]         data[\"Values\"] = filtered_values     return data  def is_empty(data):    # \u0423\u0434\u0430\u043b\u0435\u043d\u0438\u0435 \u043f\u0443\u0441\u0442\u044b\u0445 \u0437\u043d\u0430\u0447\u0435\u043d\u0438\u0439 \"Values\"     return \"Values\" in data and not data[\"Values\"]  def process_json(json_data): # \u0418\u0441\u043f\u0440\u0430\u0432\u043b\u0435\u043d\u0438\u0435 \u043c\u043d\u043e\u0433\u043e\u0432\u043b\u043e\u0436\u0435\u043d\u043d\u043e\u0441\u0442\u0438 \u0441\u043b\u043e\u0432\u0430\u0440\u044f     json_data = remove_fields(json_data)     json_data = remove_values(json_data)          # \u0415\u0441\u043b\u0438 \u0435\u0441\u0442\u044c SubKeys, \u043e\u0431\u0440\u0430\u0431\u043e\u0442\u0430\u0435\u043c \u0438\u0445     if 'SubKeys' in json_data:         subkeys = json_data['SubKeys']         del json_data['SubKeys']         yield json_data          for subkey in subkeys:             yield from process_json(subkey)  def flatten_json(data): # \u0423\u0431\u0438\u0440\u0430\u043d\u0438\u0435 \u0441\u043b\u043e\u0432\u0430\u0440\u0435\u0439 \u0432\u043d\u0443\u0442\u0440\u0438 ndjson     if \"Values\" in data:         values = data[\"Values\"]         if len(values) == 1:             # \u0415\u0441\u043b\u0438 \u0442\u043e\u043b\u044c\u043a\u043e \u043e\u0434\u0438\u043d \u043d\u0430\u0431\u043e\u0440 \u0437\u043d\u0430\u0447\u0435\u043d\u0438\u0439 \u0432 Values, \u0432\u0441\u0442\u0430\u0432\u043b\u044f\u0435\u043c \u0435\u0433\u043e \u0432 \u0440\u043e\u0434\u0438\u0442\u0435\u043b\u044c\u0441\u043a\u0438\u0439 \u0441\u043b\u043e\u0432\u0430\u0440\u044c             value = values[0]             data[\"ValueName\"] = value[\"ValueName\"]             data[\"ValueType\"] = value[\"ValueType\"]             data[\"ValueData\"] = value[\"ValueData\"]             del data[\"Values\"]             yield data         else:             # \u0415\u0441\u043b\u0438 \u043d\u0435\u0441\u043a\u043e\u043b\u044c\u043a\u043e \u043d\u0430\u0431\u043e\u0440\u043e\u0432 \u0437\u043d\u0430\u0447\u0435\u043d\u0438\u0439 \u0432 Values, \u0434\u0443\u0431\u043b\u0438\u0440\u0443\u0435\u043c \u0440\u043e\u0434\u0438\u0442\u0435\u043b\u044c\u0441\u043a\u0438\u0439 \u0441\u043b\u043e\u0432\u0430\u0440\u044c \u0434\u043b\u044f \u043a\u0430\u0436\u0434\u043e\u0433\u043e \u043d\u0430\u0431\u043e\u0440\u0430             for value in values:                 new_data = data.copy()                 new_data[\"ValueName\"] = value[\"ValueName\"]                 new_data[\"ValueType\"] = value[\"ValueType\"]                 new_data[\"ValueData\"] = value[\"ValueData\"]                 del new_data[\"Values\"]                 yield new_data  def process_registry_file(input_file): # \u041e\u0441\u043d\u043e\u0432\u043d\u0430\u044f \u0444\u0443\u043d\u043a\u0446\u0438\u044f \u043e\u0442\u043a\u0440\u044b\u0442\u0438\u044f \u0438 \u043e\u0431\u0440\u0430\u0431\u043e\u0442\u043a\u0438     with open(input_file, 'r', encoding='utf-8') as file:         data = json.load(file)      filtered_data = [entry for entry in process_json(data) if not is_empty(entry)]     flattened_data = [new_entry for entry in filtered_data for new_entry in flatten_json(entry)]      return flattened_data  def main(input_directory):     for dir_name in os.listdir(input_directory): # \u041f\u0435\u0440\u0435\u0431\u043e\u0440 \u043f\u043e\u0434\u0434\u0438\u0440\u0435\u043a\u0442\u043e\u0440\u0438\u0439 \u0432 \u0443\u043a\u0430\u0437\u0430\u043d\u043d\u043e\u0439 \u0434\u0438\u0440\u0435\u043a\u0442\u043e\u0440\u0438\u0438 (\u0418\u043c\u0435\u043d\u0430 \u0445\u043e\u0441\u0442\u043e\u0432)         dir_path = os.path.join(input_directory, dir_name)         if os.path.isdir(dir_path):             registry_data = [] # \u041e\u0431\u043d\u0443\u043b\u0435\u043d\u0438\u0435 \u043e\u0431\u0449\u0435\u0433\u043e json \u0444\u0440\u0435\u0439\u043c\u0430              for root, dirs, files in os.walk(dir_path): # \u041f\u0435\u0440\u0435\u0431\u043e\u0440 \u0444\u0430\u0439\u043b\u043e\u0432 \u0432 \u0442\u0435\u043a\u0443\u0449\u0435\u0439 \u043f\u043e\u0434\u0434\u0438\u0440\u0435\u043a\u0442\u043e\u0440\u0438\u0438 (\u0424\u0430\u0439\u043b\u044b \u0432\u0435\u0442\u043e\u043a \u0440\u0435\u0435\u0441\u0442\u0440\u0430)                 for file in files:                     if file.startswith(\"Reg-\"): # \u041f\u043e\u0438\u0441\u043a \u0442\u043e\u043b\u044c\u043a\u043e \u0444\u0430\u0439\u043b\u043e\u0432 \u0441 \u0440\u0435\u0435\u0441\u0442\u0440\u043e\u043c                         registry_file = os.path.join(root, file)                             registry_data_temp = process_registry_file(registry_file) # json \u0444\u0440\u0435\u0439\u043c \u0434\u043b\u044f \u043e\u043f\u0440\u0435\u0434\u0435\u043b\u0435\u043d\u043d\u043e\u0433\u043e \u0444\u0430\u0439\u043b\u0430 (\u0434\u043b\u044f \u043a\u043e\u0440\u0440\u0435\u043a\u0442\u043d\u043e\u0439 \u0437\u0430\u043c\u0435\u043d\u044b ROOT)                                                  # \u0417\u0430\u043c\u0435\u043d\u0430 ROOT \u043d\u0430 \u0441\u043e\u043e\u0442\u0432\u0435\u0442\u0441\u0442\u0432\u0443\u044e\u0449\u0435\u0435 \u0437\u043d\u0430\u0447\u0435\u043d\u0438\u0435 \u043a\u0443\u0441\u0442\u0430 \u0440\u0435\u0435\u0441\u0442\u0440\u0430                         if file.startswith(\"Reg-Software\"):                             for entry in registry_data_temp:                                 entry[\"KeyPath\"] = entry[\"KeyPath\"].replace(\"ROOT\", \"Software\")                         elif file.startswith(\"Reg-System\"):                             for entry in registry_data_temp:                                 entry[\"KeyPath\"] = entry[\"KeyPath\"].replace(\"ROOT\", \"System\")                                                 elif file.startswith(\"Reg-Ntuser\"):                             username_start = file.find(\"Reg-Ntuser-\") + len(\"Reg-Ntuser-\")                             username_end = file.find(\"%5C\", username_start)                             username = file[username_start:username_end]                             for entry in registry_data_temp:                                 entry[\"KeyPath\"] = entry[\"KeyPath\"].replace(\"ROOT\", f\"NTUSER.DAT-{username}\")                          elif file.startswith(\"Reg-UsrClass-\"):                             username_start = file.find(\"Reg-UsrClass-\") + len(\"Reg-UsrClass-\")                             username_end = file.find(\"%5C\", username_start)                             username = file[username_start:username_end]                             for entry in registry_data_temp:                                 entry[\"KeyPath\"] = f\"UsrClass-{username}-\" + entry[\"KeyPath\"]                                                  registry_data += registry_data_temp # \u0414\u043e\u0431\u0430\u0432\u043b\u043d\u0435\u043d\u0438\u0435 \u0441\u043a\u043e\u0440\u0440\u0435\u043a\u0442\u0438\u0440\u043e\u0432\u0430\u043d\u043d\u043e\u0433\u043e json \u0444\u0440\u0435\u0439\u043c\u0430 \u0432 \u043e\u0431\u0449\u0438\u0439                         os.remove(registry_file) # \u0423\u0434\u0430\u043b\u0435\u043d\u0438\u0435 \u043e\u0431\u0440\u0430\u0431\u043e\u0442\u0430\u043d\u043d\u044b\u0445 \u0444\u0430\u0439\u043b\u043e\u0432              output_file = os.path.join(dir_path, \"Registry.json\") # \u0421\u043e\u0437\u0434\u0430\u043d\u0438\u0435 \u043e\u0442\u0434\u0435\u043b\u044c\u043d\u043e\u0433\u043e Registry.json \u0432 \u0434\u0438\u0440\u0435\u043a\u0442\u043e\u0440\u0438\u0438 \u0445\u043e\u0441\u0442\u0430             with open(output_file, 'w', encoding='utf-8') as out_file:                 for entry in registry_data:                     # \u0417\u0430\u043f\u0438\u0441\u044c \u043a\u0430\u0436\u0434\u043e\u0433\u043e \u043e\u0431\u044a\u0435\u043a\u0442\u0430 JSON \u043d\u0430 \u043d\u043e\u0432\u043e\u0439 \u0441\u0442\u0440\u043e\u043a\u0435                     json.dump(entry, out_file, ensure_ascii=False, separators=(',', ':'))                     out_file.write('\\n')  if __name__ == \"__main__\":     input_directory = r'E:\\temp\\ToElastic'  # \u041f\u0430\u043f\u043a\u0430, \u0432 \u043a\u043e\u0442\u043e\u0440\u043e\u0439 \u043d\u0430\u0445\u043e\u0434\u044f\u0442\u0441\u044f \u0444\u0430\u0439\u043b\u044b \u0434\u043b\u044f \u043e\u0431\u0440\u0430\u0431\u043e\u0442\u043a\u0438     main(input_directory)<\/code><\/pre>\n<\/p>\n<\/div>\n<\/details>\n<details class=\"spoiler\">\n<summary>3. \u041f\u0435\u0440\u0435\u0438\u043c\u0435\u043d\u043e\u0432\u0430\u043d\u0438\u0435 \u043f\u043e\u043b\u0435\u0439, \u0444\u043e\u0440\u043c\u0430\u0442\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u0435 \u0432\u0440\u0435\u043c\u0435\u043d\u0438<\/summary>\n<div class=\"spoiler__content\">\n<pre><code class=\"python\">import os import json import jsonlines from datetime import datetime, timedelta  def process_registry_file(file_path):     updated_data = []     with jsonlines.open(file_path, 'r') as reader:         for entry in reader: # \u041f\u0435\u0440\u0435\u0438\u043c\u0435\u043d\u043e\u0432\u0430\u043d\u0438\u0435 \u043f\u043e\u043b\u0435\u0439 \u0434\u043b\u044f \u0432\u044b\u0433\u0440\u0443\u0437\u043a\u0438 \u0432 ELK             entry[\"reg.key.path\"] = entry.pop(\"KeyPath\")             entry[\"reg.key.name\"] = entry.pop(\"KeyName\")             timestamp = entry[\"LastWriteTimestamp\"]             timestamp = int(timestamp[6:-2]) \/ 1000 # \u041f\u043e\u043b\u0443\u0447\u0435\u043d\u0438\u0435 \u0447\u0438\u0441\u043b\u0430 \u0441\u0435\u043a\u0443\u043d\u0434 \u0438\u0437 \u0441\u0442\u0440\u043e\u043a\u0438 \u0432\u0440\u0435\u043c\u0435\u043d\u0438             timestamp = datetime.fromtimestamp(timestamp) - timedelta(hours=3) # UTC-3             entry[\"@timestamp\"] = timestamp.strftime('%Y-%m-%dT%H:%M:%S') # \u0424\u043e\u0440\u043c\u0430\u0442, \u043f\u043e\u043d\u044f\u0442\u043d\u044b\u0439 ELK             entry.pop(\"LastWriteTimestamp\")             entry[\"file.name\"] = entry.pop(\"ValueName\")             entry[\"file.path\"] = entry.pop(\"ValueData\")             entry.pop(\"ValueType\")             updated_data.append(entry)     return updated_data  def split_json_file(input_file, chunk_size): # \u0420\u0430\u0437\u0434\u0435\u043b\u0435\u043d\u0438\u0435 \u043d\u0430 \u043d\u0435\u0441\u043a\u043e\u043b\u044c\u043a\u043e json \u0444\u0430\u0439\u043b\u043e\u0432     with open(input_file, 'r', encoding='utf-8') as infile:         data = [json.loads(line) for line in infile]     total_records = len(data)     num_chunks = (total_records + chunk_size - 1) \/\/ chunk_size # \u041e\u043f\u0440\u0435\u0434\u0435\u043b\u0435\u043d\u0438\u0435 \u043d\u0430 \u0441\u043a\u043e\u043b\u044c\u043a\u043e \u0447\u0430\u0441\u0442\u0435\u0439 \u0440\u0430\u0437\u0434\u0435\u043b\u044f\u0442\u044c     for i in range(num_chunks): # \u0421\u043e\u0437\u0434\u0430\u043d\u0438\u0435 \u043e\u0433\u0440\u0430\u043d\u0438\u0447\u0435\u043d\u043d\u044b\u0445 \u0444\u0430\u0439\u043b\u043e\u0432 json         input_file_temp = input_file.replace('.json', '')         output_file = f\"{input_file_temp}{i + 1}.json\"         start = i * chunk_size         end = (i + 1) * chunk_size         chunk_data = data[start:end]         with open(output_file, 'w', encoding='utf-8') as outfile:             for item in chunk_data:                 outfile.write(json.dumps(item, ensure_ascii=False) + '\\n')  def process_directory(directory_path, chunk_size): # \u041f\u0440\u043e\u0432\u0435\u0440\u043a\u0430 \u043d\u0435\u043e\u0431\u0445\u043e\u0434\u0438\u043c\u043e\u0441\u0442\u0438 \u0440\u0430\u0437\u0434\u0435\u043b\u0435\u043d\u0438\u044f \u043d\u0430 \u0431\u043b\u043e\u043a\u0438     for root, dirs, files in os.walk(directory_path): # \u041f\u043e\u0438\u0441\u043a \u0432\u0441\u0435\u0445 \u0444\u0430\u0439\u043b\u043e\u0432 \u043e\u0431\u0440\u0430\u0431\u043e\u0442\u0430\u043d\u043d\u043e\u0433\u043e \u0440\u0435\u0435\u0441\u0442\u0440\u0430         for filename in files:             if filename == 'Registry.json':                 file_path = os.path.join(root, filename)                 with open(file_path, 'r', encoding='utf-8') as file:                     line_count = sum(1 for line in file)                 if line_count > chunk_size: # \u041d\u0443\u0436\u043d\u043e \u043b\u0438 \u0440\u0430\u0437\u0434\u0435\u043b\u044f\u0442\u044c                     split_json_file(file_path, chunk_size)                     os.remove(file_path)  def main(input_directory, chunk_size):     for root, dirs, files in os.walk(input_directory): # \u041f\u043e\u0438\u0441\u043a \u0432\u0441\u0435\u0445 \u0444\u0430\u0439\u043b\u043e\u0432 \u043e\u0431\u0440\u0430\u0431\u043e\u0442\u0430\u043d\u043d\u043e\u0433\u043e \u0440\u0435\u0435\u0441\u0442\u0440\u0430         for file in files:             if file == \"Registry.json\":                 registry_file = os.path.join(root, file)                 updated_data = process_registry_file(registry_file) # \u041f\u0435\u0440\u0435\u0438\u043c\u0435\u043d\u043e\u0432\u0430\u043d\u0438\u0435 \u043f\u043e\u043b\u0435\u0439                 with jsonlines.open(registry_file, 'w') as writer:                     writer.write_all(updated_data)                 process_directory(root, chunk_size) # \u0420\u0430\u0437\u0434\u0435\u043b\u0435\u043d\u0438\u0435 \u043d\u0430 \u0431\u043b\u043e\u043a\u0438   if __name__ == \"__main__\":     input_directory = r'E:\\temp\\ToElastic'     chunk_size = 100000 # \u041f\u043e \u0441\u043a\u043e\u043b\u044c\u043a\u043e \u0441\u0442\u0440\u043e\u043a \u0440\u0430\u0437\u0434\u0435\u043b\u044f\u0442\u044c json-\u0444\u0430\u0439\u043b\u044b, \u0434\u043b\u044f \u043a\u043e\u0440\u0440\u0435\u043a\u0442\u043d\u043e\u0439 \u0432\u044b\u0433\u0440\u0443\u0437\u043a\u0438 \u0432 ELK     main(input_directory, chunk_size)<\/code><\/pre>\n<\/p>\n<\/div>\n<\/details>\n<ol start=\"4\">\n<li>\n<p>\u0412 \u0440\u0435\u0437\u0443\u043b\u044c\u0442\u0430\u0442\u0435 \u043c\u044b \u043f\u043e\u043b\u0443\u0447\u0430\u0435\u043c \u0441\u0443\u0449\u0435\u0441\u0442\u0432\u0435\u043d\u043d\u044b\u0439 \u043d\u0430\u0431\u043e\u0440 \u043a\u043b\u044e\u0447\u0435\u0439 \u0440\u0435\u0435\u0441\u0442\u0440\u0430 \u043d\u0430 \u0430\u043d\u0430\u043b\u0438\u0437 \u0432 \u0441\u043b\u0435\u0434\u0443\u044e\u0449\u0435\u043c \u0432\u0438\u0434\u0435 (\u043d\u0430\u0437\u0432\u0430\u043d\u0438\u044f \u043f\u043e\u043b\u0435\u0439 \u043b\u0435\u0433\u043a\u043e \u043c\u0435\u043d\u044f\u044e\u0442\u0441\u044f \u043f\u043e \u0412\u0430\u0448\u0435\u043c\u0443 \u0436\u0435\u043b\u0430\u043d\u0438\u044e):<\/p>\n<\/li>\n<\/ol>\n<pre><code class=\"json\">{\"reg.key.path\": \"Software\\\\Classes\\\\.htm\\\\OpenWithList\\\\Excel.exe\\\\shell\\\\edit\\\\command\",  \"reg.key.name\": \"command\",  \"@timestamp\": \"2019-10-07T22:49:35\",  \"file.name\": \"(default)\",  \"file.path\": \"\\\"C:\\\\Program Files\\\\Microsoft Office\\\\Office15\\\\EXCEL.EXE\\\" \/dde\"}<\/code><\/pre>\n<ol start=\"5\">\n<li>\n<p>\u041f\u043e\u0441\u043b\u0435 \u043f\u0440\u043e\u0432\u0435\u0440\u043a\u0438 \u043a\u043e\u0440\u0440\u0435\u043a\u0442\u043d\u043e\u0441\u0442\u0438 \u043e\u0431\u0440\u0430\u0431\u043e\u0442\u043a\u0438 \u0441\u044b\u0440\u044b\u0445 \u0434\u0430\u043d\u043d\u044b\u0445 \u0432 json \u0444\u0430\u0439\u043b, \u0432\u0441\u0435 \u0444\u0430\u0439\u043b\u044b \u043e\u0442\u043f\u0440\u0430\u0432\u043b\u044f\u044e\u0442\u0441\u044f \u0432 ElasticStack (\u0432\u0440\u0443\u0447\u043d\u0443\u044e, \u0441 \u043f\u043e\u043c\u043e\u0449\u044c\u044e API \u0438\u043b\u0438 FileBeat) \u0438\u043b\u0438 \u0434\u0440\u0443\u0433\u0443\u044e, \u0443\u0434\u043e\u0431\u043d\u0443\u044e \u0412\u0430\u043c SIEM \u0441\u0438\u0441\u0442\u0435\u043c\u0443.<\/p>\n<\/li>\n<li>\n<p>\u0412 ElasticStack \u0434\u0430\u043b\u0435\u0435 \u043f\u0440\u043e\u0438\u0437\u0432\u043e\u0434\u0438\u0442\u0441\u044f \u0430\u043d\u0430\u043b\u0438\u0437:<\/p>\n<ul>\n<li>\n<p>C \u043f\u043e\u043c\u043e\u0449\u044c\u044e \u0444\u0438\u043b\u044c\u0442\u0440\u0430 \u043f\u043e \u0432\u0441\u0435\u043c \u043c\u0435\u0441\u0442\u0430\u043c \u0437\u0430\u043a\u0440\u0435\u043f\u043b\u0435\u043d\u0438\u044f, \u0438\u043b\u0438 \u0432 \u043a\u043e\u0442\u043e\u0440\u043e\u043c \u0438\u0449\u0435\u0442\u0441\u044f \u0447\u0442\u043e-\u0442\u043e \u043a\u043e\u043d\u043a\u0440\u0435\u0442\u043d\u043e\u0435 (1). \u0412 \u0440\u0435\u0430\u043b\u044c\u043d\u044b\u0445 \u0441\u0438\u0442\u0443\u0430\u0446\u0438\u044f\u0445 \u043c\u043e\u0436\u043d\u043e \u0438\u0441\u043a\u0430\u0442\u044c \u0432 3 \u0437\u0430\u0445\u043e\u0434\u0430: \u0434\u0432\u0430 \u0437\u0430\u0445\u043e\u0434\u0430 \u0441 \u0441\u0430\u043c\u044b\u043c\u0438 \u0448\u0443\u043c\u043d\u044b\u043c\u0438 \u0444\u0438\u043b\u044c\u0442\u0440\u0430\u043c\u0438 (<code>*Software*Classes*CLSID*<\/code> (<a href=\"https:\/\/attack.mitre.org\/techniques\/T1546\/015\/\" rel=\"noopener noreferrer nofollow\">T1546\/015<\/a>) \u0438 <code>*Software*Classes*shell*command<\/code> (<a href=\"https:\/\/attack.mitre.org\/techniques\/T1546\/001\/\" rel=\"noopener noreferrer nofollow\">T1546\/001<\/a>)), \u0438 \u043e\u0434\u0438\u043d \u0441\u043e \u0432\u0441\u0435\u043c \u043e\u0441\u0442\u0430\u043b\u044c\u043d\u044b\u043c.\u00a0<\/p>\n<\/li>\n<li>\n<p>\u0423\u0434\u043e\u0431\u043d\u044b\u0439 \u043f\u043e\u0438\u0441\u043a \u043f\u0440\u043e\u0432\u043e\u0434\u0438\u0442\u0441\u044f \u0441 \u043f\u043e\u043c\u043e\u0449\u044c\u044e \u0432\u0438\u0437\u0443\u0430\u043b\u0438\u0437\u0430\u0446\u0438\u0438, \u0432 \u043a\u043e\u0442\u043e\u0440\u043e\u0439 \u0444\u043e\u0440\u043c\u0438\u0440\u0443\u0435\u0442\u0441\u044f \u0442\u0430\u0431\u043b\u0438\u0446\u0430 (2) \u043f\u043e \u043f\u043e\u043b\u044e <code>file.path<\/code> (3), \u043a\u043e\u0442\u043e\u0440\u0430\u044f \u0440\u0430\u0432\u043d\u0430 \u0432\u044b\u043f\u043e\u043b\u043d\u044f\u0435\u043c\u043e\u0439 \u043a\u043e\u043c\u0430\u043d\u0434\u0435 \/ \u0441\u0441\u044b\u043b\u043a\u0435 \u043d\u0430 \u0444\u0430\u0439\u043b (\u0413\u0440\u0443\u043f\u043f\u0438\u0440\u043e\u0432\u043a\u0430 \u0441\u043e\u0431\u044b\u0442\u0438\u0439).<\/p>\n<\/li>\n<li>\n<p>\u041e\u0442\u0441\u043e\u0440\u0442\u0438\u0440\u043e\u0432\u0430\u0432 \u043f\u043e \u0432\u043e\u0437\u0440\u0430\u0441\u0442\u0430\u043d\u0438\u044e \u043a\u043e\u043b\u0438\u0447\u0435\u0441\u0442\u0432\u0430 \u0440\u0430\u0437 \u0432\u0441\u0442\u0440\u0435\u0447\u0430\u0435\u043c\u043e\u0441\u0442\u0438 (4), \u043c\u043e\u0436\u043d\u043e \u043b\u0435\u0433\u043a\u043e \u043d\u0430\u0439\u0442\u0438 \u0438\u0441\u043f\u043e\u043b\u043d\u044f\u0435\u043c\u044b\u0435 \u0444\u0430\u0439\u043b\u044b, \u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u043d\u0435 \u0434\u043e\u043b\u0436\u043d\u044b \u043f\u0440\u0438\u0441\u0443\u0442\u0441\u0442\u0432\u043e\u0432\u0430\u0442\u044c \u043d\u0430 \u043a\u043e\u043c\u043f\u044c\u044e\u0442\u0435\u0440\u0435 (\u043d\u0430\u0438\u0431\u043e\u043b\u0435\u0435 \u0432\u0441\u0442\u0440\u0435\u0447\u0430\u0435\u043c\u044b\u0435 \u043a\u043e\u043c\u0430\u043d\u0434\u044b = \u0431\u041e\u043b\u044c\u0448\u0430\u044f \u0432\u0435\u0440\u043e\u044f\u0442\u043d\u043e\u0441\u0442\u044c \u0435\u0435 \u043b\u0435\u0433\u0438\u0442\u0438\u043c\u043d\u043e\u0441\u0442\u0438).<\/p>\n<\/li>\n<li>\n<p>\u0417\u0430\u0442\u0435\u043c, \u043f\u043e\u043f\u0440\u0430\u0432\u0438\u0432 \u0444\u0438\u043b\u044c\u0442\u0440, \u0447\u0442\u043e \u0431\u044b \u043d\u0430\u0439\u0442\u0438 \u0442\u043e\u043b\u044c\u043a\u043e \u043d\u0443\u0436\u043d\u044b\u0435 \u0444\u0430\u0439\u043b\u044b, \u043c\u043e\u0436\u043d\u043e \u043f\u0435\u0440\u0435\u0439\u0442\u0438 \u0432 \u0441\u043f\u0438\u0441\u043e\u043a \u0432\u0441\u0435\u0445 \u0441\u043e\u0431\u044b\u0442\u0438\u0439 \u0434\u043b\u044f \u0431\u043e\u043b\u0435\u0435 \u0433\u043b\u0443\u0431\u043e\u043a\u043e\u0433\u043e \u0430\u043d\u0430\u043b\u0438\u0437\u0430 (5).<\/p>\n<\/li>\n<\/ul>\n<\/li>\n<\/ol>\n<figure class=\"full-width\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w1560\/getpro\/habr\/upload_files\/dd0\/a89\/5fb\/dd0a895fbee572dd31292e17b5035ec5.png\" alt=\"\u0413\u0440\u0443\u043f\u043f\u0438\u0440\u043e\u0432\u043a\u0430 \u0432\u044b\u043f\u043e\u043b\u043d\u044f\u0435\u043c\u044b\u0445 \u043a\u043e\u043c\u0430\u043d\u0434 \/ \u0441\u0441\u044b\u043b\u043e\u043a \u043d\u0430 \u0444\u0430\u0439\u043b\u044b \u0432 \u043c\u0435\u0441\u0442\u0430\u0445 \u0437\u0430\u043a\u0440\u0435\u043f\u043b\u0435\u043d\u0438\u044f\" title=\"\u0413\u0440\u0443\u043f\u043f\u0438\u0440\u043e\u0432\u043a\u0430 \u0432\u044b\u043f\u043e\u043b\u043d\u044f\u0435\u043c\u044b\u0445 \u043a\u043e\u043c\u0430\u043d\u0434 \/ \u0441\u0441\u044b\u043b\u043e\u043a \u043d\u0430 \u0444\u0430\u0439\u043b\u044b \u0432 \u043c\u0435\u0441\u0442\u0430\u0445 \u0437\u0430\u043a\u0440\u0435\u043f\u043b\u0435\u043d\u0438\u044f\" width=\"1600\" height=\"824\" data-src=\"https:\/\/habrastorage.org\/getpro\/habr\/upload_files\/dd0\/a89\/5fb\/dd0a895fbee572dd31292e17b5035ec5.png\"\/><\/p>\n<div><figcaption>\u0413\u0440\u0443\u043f\u043f\u0438\u0440\u043e\u0432\u043a\u0430 \u0432\u044b\u043f\u043e\u043b\u043d\u044f\u0435\u043c\u044b\u0445 \u043a\u043e\u043c\u0430\u043d\u0434 \/ \u0441\u0441\u044b\u043b\u043e\u043a \u043d\u0430 \u0444\u0430\u0439\u043b\u044b \u0432 \u043c\u0435\u0441\u0442\u0430\u0445 \u0437\u0430\u043a\u0440\u0435\u043f\u043b\u0435\u043d\u0438\u044f<\/figcaption><\/div>\n<\/figure>\n<ol start=\"7\">\n<li>\n<p>\u0412 \u0441\u043e\u0431\u044b\u0442\u0438\u044f\u0445 \u0443\u0436\u0435 \u043f\u043e\u043a\u0430\u0437\u044b\u0432\u0430\u0435\u0442\u0441\u044f \u0432 \u043a\u0430\u043a\u043e\u0439 \u0432\u0435\u0442\u043a\u0435 \u0440\u0435\u0435\u0441\u0442\u0440\u0430 \u043d\u0430\u0445\u043e\u0434\u0438\u0442\u0441\u044f \u043d\u0443\u0436\u043d\u0430\u044f \u0441\u0441\u044b\u043b\u043a\u0430\/\u043a\u043e\u043c\u0430\u043d\u0434\u0430 \u0438 \u043a\u043e\u0433\u0434\u0430 \u043e\u043d\u0430 \u0431\u044b\u043b\u0430 \u0434\u043e\u0431\u0430\u0432\u043b\u0435\u043d\u0430, \u0438\u0437 \u0447\u0435\u0433\u043e \u043c\u043e\u0436\u043d\u043e \u0434\u0435\u043b\u0430\u0442\u044c \u0432\u044b\u0432\u043e\u0434\u044b &#8212; \u043b\u0435\u0433\u0438\u0442\u0438\u043c\u043d\u043e \u044d\u0442\u043e \u0438\u043b\u0438 \u043d\u0435\u0442.\u00a0<\/p>\n<\/li>\n<\/ol>\n<figure class=\"full-width\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w1560\/getpro\/habr\/upload_files\/107\/9a0\/dae\/1079a0dae4992cd430e984ead5ff4813.png\" alt=\"\u041d\u0430\u0439\u0434\u0435\u043d\u043d\u044b\u0435 \u043f\u0443\u0442\u0438 \u043a \u0432\u0435\u0442\u043a\u0430\u043c \u0440\u0435\u0435\u0441\u0442\u0440\u0430, \u0432 \u043a\u043e\u0442\u043e\u0440\u044b\u0445 \u0437\u0430\u043a\u0440\u0435\u043f\u0438\u043b\u0441\u044f \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\" title=\"\u041d\u0430\u0439\u0434\u0435\u043d\u043d\u044b\u0435 \u043f\u0443\u0442\u0438 \u043a \u0432\u0435\u0442\u043a\u0430\u043c \u0440\u0435\u0435\u0441\u0442\u0440\u0430, \u0432 \u043a\u043e\u0442\u043e\u0440\u044b\u0445 \u0437\u0430\u043a\u0440\u0435\u043f\u0438\u043b\u0441\u044f \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\" width=\"1600\" height=\"333\" data-src=\"https:\/\/habrastorage.org\/getpro\/habr\/upload_files\/107\/9a0\/dae\/1079a0dae4992cd430e984ead5ff4813.png\"\/><\/p>\n<div><figcaption>\u041d\u0430\u0439\u0434\u0435\u043d\u043d\u044b\u0435 \u043f\u0443\u0442\u0438 \u043a \u0432\u0435\u0442\u043a\u0430\u043c \u0440\u0435\u0435\u0441\u0442\u0440\u0430, \u0432 \u043a\u043e\u0442\u043e\u0440\u044b\u0445 \u0437\u0430\u043a\u0440\u0435\u043f\u0438\u043b\u0441\u044f \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441<\/figcaption><\/div>\n<\/figure>\n<ol start=\"8\">\n<li>\n<p>\u0417\u0434\u0435\u0441\u044c \u043f\u043e\u043a\u0430\u0437\u0430\u043d \u043b\u0438\u0448\u044c \u0443\u043f\u0440\u043e\u0449\u0435\u043d\u043d\u044b\u0439 \u043f\u043e\u0438\u0441\u043a \u0434\u043b\u044f \u043f\u0440\u0438\u043c\u0435\u0440\u0430, \u0430 \u0442\u043e \u0432\u0440\u0435\u043c\u044f \u043a\u0430\u043a \u0440\u0435\u0430\u043b\u044c\u043d\u044b\u0435 \u043a\u0435\u0439\u0441\u044b \u043f\u043e\u0438\u0441\u043a\u0430 \u043e\u0433\u0440\u0430\u043d\u0438\u0447\u0435\u043d\u044b \u0442\u043e\u043b\u044c\u043a\u043e \u0412\u0430\u0448\u0435\u0439 \u0444\u0430\u043d\u0442\u0430\u0437\u0438\u0435\u0439. \u041a\u0441\u0442\u0430\u0442\u0438, \u0444\u0438\u043b\u044c\u0442\u0440 \u0434\u043b\u044f \u043f\u043e\u0438\u0441\u043a\u0430 \u043d\u0435 \u0448\u0443\u043c\u043d\u044b\u0445 \u043c\u0435\u0441\u0442 \u0437\u0430\u043a\u0440\u0435\u043f\u043b\u0435\u043d\u0438\u044f:<\/p>\n<\/li>\n<\/ol>\n<details class=\"spoiler\">\n<summary>\u0424\u0438\u043b\u044c\u0442\u0440 \u043f\u043e\u0438\u0441\u043a\u0430 \u0437\u0430\u043a\u0440\u0435\u043f\u043b\u0435\u043d\u0438\u044f \u0432 \u0440\u0435\u0435\u0441\u0442\u0440\u0435<\/summary>\n<div class=\"spoiler__content\">\n<pre><code>reg.key.path : (*Software*Microsoft*Active*Setup*Installed*Components OR *Software*Microsoft*Active*Setup*Installed*Components*ShellComponent OR *Software*Microsoft*Command*Processor*Autorun OR *Software*Microsoft*Ctf*LangBarAddin*FilePath OR *Software*Microsoft*Internet*Explorer*Extensions*Exec OR *Software*Microsoft*Internet*Explorer*Extensions*Script OR *Software*Microsoft*NetSh OR *Software*Microsoft*Office*Word*Options*GlobalDotName OR *Software*Microsoft*Office*Word*Security OR *Software*Microsoft*Office*Word*Security*Trusted*Documents OR *Software*Microsoft*Office*Word*Security*Trusted*Locations OR *Software*Microsoft*Office*Word*Security*Trusted*Locations* OR *Software*Microsoft*Office*Word*Security*Trusted*Locations*AllowSubFolders OR *Software*Microsoft*Office*Word*Security*Trusted*Locations*Path OR *Software*Microsoft*Office*Word*Security*VBAWarning OR *Software*Microsoft*Office*Common*General*SharedTemplates OR *Software*Microsoft*Office*Common*General*UserTemplates OR *Software*Microsoft*Office*test*Special*Perf OR *Software*Microsoft*Windows*Services*AutoStartOnConnect*MicrosoftActiveSync OR *Software*Microsoft*Windows*Services*AutoStartOnDisconnect*MicrosoftActiveSync OR *Software*Microsoft*Windows*CurrentVersion*AppCompatFlags*Custom* OR *Software*Microsoft*Windows*CurrentVersion*AppCompatFlags*Installedsdb OR *Software*Microsoft*Windows*CurrentVersion*Image*File*Execution*Options OR *Software*Microsoft*Windows*CurrentVersion*Image*File*Execution*Option*VerifierDlls OR *Software*Microsoft*Windows*CurrentVersion*IniFileMapping*system.ini*boot OR *Software*Microsoft*Windows*CurrentVersion*Schedule*TaskCache*Tasks OR *Software*Microsoft*Windows*CurrentVersion*Schedule*TaskCache*Tree OR *Software*Microsoft*Windows*CurrentVersion*SilentProcessExit* OR *Software*Microsoft*Windows*CurrentVersion*Terminal*Server*Install* OR *Software*Microsoft*Windows*CurrentVersion*Windows*AppInit_DLLs OR *Software*Microsoft*Windows*CurrentVersion*Windows*IconServiceLib OR *Software*Microsoft*Windows*CurrentVersion*Windows*Load OR *Software*Microsoft*Windows*CurrentVersion*Windows*Run OR *Software*Microsoft*Windows*CurrentVersion*Winlogon OR *Software*Microsoft*Windows*CurrentVersion*Winlogon*AppSetup OR *Software*Microsoft*Windows*CurrentVersion*Winlogon*GpExtensions* OR *Software*Microsoft*Windows*CurrentVersion*Winlogon*Taskman OR *Software*Microsoft*Windows*CurrentVersion*Winlogon*VmApplet OR *Software*Microsoft*Windows*CurrentVersion*Winlogon*Shell OR *Software*Microsoft*Windows*CurrentVersion*Winlogon*Userinit OR *Software*Microsoft*Windows*CurrentVersion*Explorer*Shell*Folders OR *Software*Microsoft*Windows*CurrentVersion*Explorer*User*Shell*Folders OR *Software*Microsoft*Windows*CurrentVersion*Policies*Explorer*Run OR *Software*Microsoft*Windows*CurrentVersion*Policies*System*Shell OR *Software*Microsoft*Windows*CurrentVersion*Run OR *Software*Microsoft*Windows*CurrentVersion*RunOnce OR *Software*Microsoft*Windows*CurrentVersion*RunOnceEx OR *Software*Microsoft*Windows*CurrentVersion*RunServices OR *Software*Microsoft*Windows*CurrentVersion*RunServicesOnce OR *Software*Microsoft*Windows*CurrentVersion*ShellServiceObjectDelayLoad OR *Software*Microsoft*Windows*CurrentVersion*policies*Explorer*Run OR *Software*Microsoft*Windows*Windows*Error*Reporting*Hangs*ReflectDebugger OR *Software*Policies*Microsoft*Windows*Control*Panel*Desktop*SCRNSAVE.EXE OR *Software*Policies*Microsoft*Windows*System*Scripts OR *Software*Policies*Microsoft*Windows*System*Scripts*Logoff*Script OR *Software*Policies*Microsoft*Windows*System*Scripts*Logon*Script OR *Software*Policies*Microsoft*Windows*System*Scripts*Shutdown*Script OR *Software*Policies*Microsoft*Windows*System*Scripts*Startup*Script OR *Software*Wow6432Node*Microsoft*Windows*CurrentVersion*Run* OR *Software*Wow6432Node*Microsoft*Windows*CurrentVersion*Image*File*Execution*Options* OR *Software*Wow6432Node*Microsoft*Windows*CurrentVersion*Windows OR *Software*Wow6432Node*Microsoft*Windows*CurrentVersion*Windows*AppInit_Dlls OR *Software*Wow6432Node*Microsoft*Windows*CurrentVersion*Winlogon* OR *System*ControlSet001*Control*BootVerificationProgram*ImagePath OR *System*ControlSet001*Control*Print*Environments*Print*Processors*Driver OR *System*ControlSet001*Control*Lsa*Notification*Packages OR *System*ControlSet001*Control*Lsa*OSConfig*Security*Packages OR *System*ControlSet001*Control*Lsa*Security*Packages OR *System*ControlSet001*Control*NetworkProvider*Order OR *System*ControlSet001*Control*Print*Environments***Print*Processors***Driver OR *System*ControlSet001*Control*Print*Monitors OR *System*ControlSet001*Control*SafeBoot*AlternateShell OR *System*ControlSet001*Control*ServiceControlManagerExtension OR *System*ControlSet001*Control*Session*Manager OR *System*ControlSet001*Control*Session*Manager*AppCertDLLs** OR *System*ControlSet001*Control*Session*Manager*Environment*Path OR *System*ControlSet001*Control*Session*Manager*BootExecute OR *System*ControlSet001*Control*Session*Manager*Execute OR *System*ControlSet001*Control*Session*Manager*KnownDLLs OR *System*ControlSet001*Control*Session*Manager*S0InitialCommand OR *System*ControlSet001*Control*Session*Manager*SetupExecute OR *System*ControlSet001*Services OR *System*ControlSet001*Services*NetworkProvider OR *System*ControlSet001*Services*W32Time*TimeProviders* OR *System*ControlSet001*Services*servicename*Parameters*ServiceDll OR *System*ControlSet001*services*TermService*Parameters* OR *System*ControlSet001*Control*Terminal*Server*Wds*rdpwd*StartupPrograms OR *System*ControlSet001*Control*Terminal*Server*WinStations*RDP-Tcp*InitialProgram OR *System*Setup*CmdLine OR *Environment*UserInitMprLogonScript OR *Control*Panel*Desktop)<\/code><\/pre>\n<\/p>\n<\/div>\n<\/details>\n<h3>\u0414\u0435\u043c\u043e\u043d\u0441\u0442\u0440\u0430\u0446\u0438\u044f \u043d\u0430 \u043f\u0440\u0438\u043c\u0435\u0440\u0430\u0445<\/h3>\n<p><a class=\"anchor\" name=\"%D0%94%D0%B5%D0%BC%D0%BE%D0%BD%D1%81%D1%82%D1%80%D0%B0%D1%86%D0%B8%D1%8F%20%D0%BD%D0%B0%20%D0%BF%D1%80%D0%B8%D0%BC%D0%B5%D1%80%D0%B0%D1%85\" id=\"\u0414\u0435\u043c\u043e\u043d\u0441\u0442\u0440\u0430\u0446\u0438\u044f \u043d\u0430 \u043f\u0440\u0438\u043c\u0435\u0440\u0430\u0445\"><\/a><\/p>\n<p>\u041f\u0440\u0438\u043c\u0435\u0440 \u0442\u043e\u0433\u043e \u043a\u0430\u043a \u0432 \u043c\u043e\u0435\u043c \u0440\u0435\u0448\u0435\u043d\u0438\u0438 \u0432\u0438\u0434\u043d\u044b \u0438\u0437\u043c\u0435\u043d\u0435\u043d\u0438\u044f \u043a\u043e\u043d\u0442\u0435\u043a\u0441\u0442\u043d\u043e\u0433\u043e \u043c\u0435\u043d\u044e &#8212; \u043f\u0440\u0435\u0434\u0441\u0442\u0430\u0432\u043b\u0435\u043d\u044b \u0432\u044b\u0448\u0435.\u00a0<\/p>\n<p>\u0414\u043b\u044f \u0434\u0430\u043b\u044c\u043d\u0435\u0439\u0448\u0435\u0439 \u0434\u0435\u043c\u043e\u043d\u0441\u0442\u0440\u0430\u0446\u0438\u0438 \u0431\u044b\u043b\u0438 \u0432\u0437\u044f\u0442\u044b 3 \u0442\u0435\u0445\u043d\u0438\u043a\u0438, \u043f\u0440\u0438\u043c\u0435\u043d\u0451\u043d\u043d\u044b\u0435 \u0441 \u043f\u043e\u043c\u043e\u0449\u044c\u044e AtomicTests, \u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u043d\u0435 \u0434\u0435\u0442\u0435\u043a\u0442\u0438\u0440\u0443\u044e\u0442\u0441\u044f \u0441 \u043f\u043e\u043c\u043e\u0449\u044c\u044e Autoruns:<\/p>\n<ul>\n<li>\n<p><a href=\"https:\/\/attack.mitre.org\/techniques\/T1546\/011\/\" rel=\"noopener noreferrer nofollow\">T1546.011<\/a> (\u0417\u043b\u043e\u0443\u043f\u043e\u0442\u0440\u0435\u0431\u043b\u0435\u043d\u0438\u0435 \u043f\u043e\u0434\u0441\u0438\u0441\u0442\u0435\u043c\u043e\u0439 \u0441\u043e\u0432\u043c\u0435\u0441\u0442\u0438\u043c\u043e\u0441\u0442\u0438 \u043f\u0440\u0438\u043b\u043e\u0436\u0435\u043d\u0438\u0439), \u0440\u0430\u0441\u0441\u043c\u043e\u0442\u0440\u0435\u043d\u043d\u0430\u044f \u0440\u0430\u043d\u0435\u0435 \u0432 \u0440\u0430\u0437\u0434\u0435\u043b\u0435 \u0441 \u041f\u0440\u043e\u0431\u043b\u0435\u043c\u043e\u0439;<\/p>\n<\/li>\n<li>\n<p><a href=\"https:\/\/attack.mitre.org\/techniques\/T1546\/002\/\" rel=\"noopener noreferrer nofollow\">T1546.002<\/a> (\u041c\u0430\u043d\u0438\u043f\u0443\u043b\u044f\u0446\u0438\u044f \u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440\u0430\u043c\u0438 \u044d\u043a\u0440\u0430\u043d\u043d\u043e\u0439 \u0437\u0430\u0441\u0442\u0430\u0432\u043a\u0438);<\/p>\n<\/li>\n<li>\n<p><a href=\"https:\/\/attack.mitre.org\/techniques\/T1546\/007\/\" rel=\"noopener noreferrer nofollow\">T1546.007<\/a> (\u0417\u043b\u043e\u0443\u043f\u043e\u0442\u0440\u0435\u0431\u043b\u0435\u043d\u0438\u0435 \u0432\u0441\u043f\u043e\u043c\u043e\u0433\u0430\u0442\u0435\u043b\u044c\u043d\u044b\u043c\u0438 \u0431\u0438\u0431\u043b\u0438\u043e\u0442\u0435\u043a\u0430\u043c\u0438 DLL Netsh):<\/p>\n<\/li>\n<\/ul>\n<figure class=\"full-width\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w1560\/getpro\/habr\/upload_files\/901\/596\/1f8\/9015961f8440fa85c01863dbae41e1a1.png\" alt=\"Autoruns \u043e\u043f\u044f\u0442\u044c \u043f\u043e\u043a\u0430\u0437\u044b\u0432\u0430\u0435\u0442 \u043d\u0435 \u0432\u0441\u0435\" title=\"Autoruns \u043e\u043f\u044f\u0442\u044c \u043f\u043e\u043a\u0430\u0437\u044b\u0432\u0430\u0435\u0442 \u043d\u0435 \u0432\u0441\u0435\" width=\"1600\" height=\"889\" data-src=\"https:\/\/habrastorage.org\/getpro\/habr\/upload_files\/901\/596\/1f8\/9015961f8440fa85c01863dbae41e1a1.png\"\/><\/p>\n<div><figcaption>Autoruns \u043e\u043f\u044f\u0442\u044c \u043f\u043e\u043a\u0430\u0437\u044b\u0432\u0430\u0435\u0442 \u043d\u0435 \u0432\u0441\u0435<\/figcaption><\/div>\n<\/figure>\n<ol>\n<li>\n<p>\u0421\u043e\u0431\u0440\u0430\u0432, \u043e\u0431\u0440\u0430\u0431\u043e\u0442\u0430\u0432 \u0438 \u043e\u0442\u043f\u0440\u0430\u0432\u0438\u0432 \u0432 ElasticStack \u0432\u0441\u0435 \u043d\u0435\u043e\u0431\u0445\u043e\u0434\u0438\u043c\u044b\u0435 \u0434\u0430\u043d\u043d\u044b\u0435, \u043f\u0440\u0438 \u043f\u043e\u0438\u0441\u043a\u0435 \u0432\u0441\u0435\u0445 \u043c\u0435\u0441\u0442 \u0437\u0430\u043a\u0440\u0435\u043f\u043b\u0435\u043d\u0438\u044f (\u043a\u0440\u043e\u043c\u0435 2 \u0441\u0430\u043c\u044b\u0445 \u0448\u0443\u043c\u044f\u0449\u0438\u0445), \u043f\u043e\u043b\u0443\u0447\u0430\u0435\u043c \u0441\u043b\u0435\u0434\u0443\u044e\u0449\u0435\u0435:\u00a0<\/p>\n<\/li>\n<\/ol>\n<figure class=\"full-width\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w1560\/getpro\/habr\/upload_files\/01d\/235\/053\/01d2350536b6a2da0760607ea96cb689.png\" alt=\"\u0427\u0438\u0441\u043b\u0430 \u0441\u0447\u0438\u0442\u0430\u044e\u0442\u0441\u044f \u0430\u043d\u043e\u043c\u0430\u043b\u044c\u043d\u044b\u043c\u0438, \u0442.\u043a. \u043e\u043d\u0438 \u0444\u0438\u043b\u044c\u0442\u0440\u0443\u044e\u0442\u0441\u044f \u043f\u0440\u0438 \u043f\u0430\u0440\u0441\u0438\u043d\u0433\u0435\" title=\"\u0427\u0438\u0441\u043b\u0430 \u0441\u0447\u0438\u0442\u0430\u044e\u0442\u0441\u044f \u0430\u043d\u043e\u043c\u0430\u043b\u044c\u043d\u044b\u043c\u0438, \u0442.\u043a. \u043e\u043d\u0438 \u0444\u0438\u043b\u044c\u0442\u0440\u0443\u044e\u0442\u0441\u044f \u043f\u0440\u0438 \u043f\u0430\u0440\u0441\u0438\u043d\u0433\u0435\" width=\"1595\" height=\"1239\" data-src=\"https:\/\/habrastorage.org\/getpro\/habr\/upload_files\/01d\/235\/053\/01d2350536b6a2da0760607ea96cb689.png\"\/><\/p>\n<div><figcaption>\u0427\u0438\u0441\u043b\u0430 \u0441\u0447\u0438\u0442\u0430\u044e\u0442\u0441\u044f \u0430\u043d\u043e\u043c\u0430\u043b\u044c\u043d\u044b\u043c\u0438, \u0442.\u043a. \u043e\u043d\u0438 \u0444\u0438\u043b\u044c\u0442\u0440\u0443\u044e\u0442\u0441\u044f \u043f\u0440\u0438 \u043f\u0430\u0440\u0441\u0438\u043d\u0433\u0435<\/figcaption><\/div>\n<\/figure>\n<ol start=\"2\">\n<li>\n<p>\u041d\u0435\u043e\u0431\u0445\u043e\u0434\u0438\u043c\u044b\u0435 \u043d\u0430\u043c \u043f\u0443\u0442\u0438 \u043a \u0444\u0430\u0439\u043b\u0430\u043c \u0438 \u0430\u043d\u043e\u043c\u0430\u043b\u044c\u043d\u044b\u0435 \u043a\u043b\u044e\u0447\u0438 \u043d\u0430\u0445\u043e\u0434\u044f\u0442\u0441\u044f \u043d\u0430\u0432\u0435\u0440\u0445\u0443 \u0441\u043f\u0438\u0441\u043a\u0430. \u0421\u043e\u0432\u0435\u0440\u0448\u0438\u0432 \u043f\u043e\u0438\u0441\u043a \u043f\u043e \u044d\u0442\u0438\u043c \u0441\u043e\u0431\u044b\u0442\u0438\u044f\u043c, \u0441\u0440\u0430\u0437\u0443 \u043d\u0430\u0445\u043e\u0434\u0438\u043c \u0433\u0434\u0435 \u043d\u0430\u0445\u043e\u0434\u044f\u0442\u0441\u044f \u0434\u0430\u043d\u043d\u044b\u0435 \u0437\u043d\u0430\u0447\u0435\u043d\u0438\u044f \u0432 \u0440\u0435\u0435\u0441\u0442\u0440\u0435:\u00a0<\/p>\n<\/li>\n<\/ol>\n<figure class=\"full-width\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w1560\/getpro\/habr\/upload_files\/54e\/5a8\/762\/54e5a876223e1a60a147a715658890bf.png\" alt=\"\u0420\u0435\u0437\u0443\u043b\u044c\u0442\u0430\u0442\" title=\"\u0420\u0435\u0437\u0443\u043b\u044c\u0442\u0430\u0442\" width=\"1600\" height=\"427\" data-src=\"https:\/\/habrastorage.org\/getpro\/habr\/upload_files\/54e\/5a8\/762\/54e5a876223e1a60a147a715658890bf.png\"\/><\/p>\n<div><figcaption>\u0420\u0435\u0437\u0443\u043b\u044c\u0442\u0430\u0442<\/figcaption><\/div>\n<\/figure>\n<ol start=\"3\">\n<li>\n<p>\u0414\u043b\u044f \u0443\u0432\u0435\u043b\u0438\u0447\u0435\u043d\u0438\u044f \u0443\u0434\u043e\u0431\u0441\u0442\u0432\u0430 \u0434\u0430\u043b\u044c\u043d\u0435\u0439\u0448\u0435\u0433\u043e \u043f\u043e\u0438\u0441\u043a\u0430, \u0432\u0441\u0435 \u043b\u0435\u0433\u0438\u0442\u0438\u043c\u043d\u044b\u0435 \u0437\u043d\u0430\u0447\u0435\u043d\u0438\u044f \u0434\u043b\u044f \u0412\u0430\u0448\u0435\u0433\u043e &#171;\u0437\u043e\u043b\u043e\u0442\u043e\u0433\u043e&#187; \u043e\u0431\u0440\u0430\u0437\u0430 \u0441\u0438\u0441\u0442\u0435\u043c \u0412\u0430\u0448\u0435\u0439 \u043e\u0440\u0433\u0430\u043d\u0438\u0437\u0430\u0446\u0438\u0438 \u043b\u0435\u0433\u043a\u043e \u0434\u043e\u0431\u0430\u0432\u043b\u044f\u044e\u0442\u0441\u044f \u0432 \u0438\u0441\u043a\u043b\u044e\u0447\u0435\u043d\u0438\u044f<\/p>\n<\/li>\n<\/ol>\n<h3>\u0412\u044b\u0432\u043e\u0434\u044b<\/h3>\n<p><a class=\"anchor\" name=\"%D0%92%D1%8B%D0%B2%D0%BE%D0%B4%D1%8B\" id=\"\u0412\u044b\u0432\u043e\u0434\u044b\"><\/a><\/p>\n<p>\u041d\u0430 \u0442\u0435\u043a\u0443\u0449\u0438\u0439 \u043c\u043e\u043c\u0435\u043d\u0442 \u0441\u0443\u0449\u0435\u0441\u0442\u0432\u0443\u0435\u0442 \u043c\u043d\u043e\u0436\u0435\u0441\u0442\u0432\u043e \u0443\u0442\u0438\u043b\u0438\u0442 \u0434\u043b\u044f \u0430\u043d\u0430\u043b\u0438\u0437\u0430 \u0440\u0435\u0435\u0441\u0442\u0440\u0430 Windows \u043d\u0430 \u043f\u043e\u0438\u0441\u043a \u043c\u0435\u0441\u0442 \u0437\u0430\u043a\u0440\u0435\u043f\u043b\u0435\u043d\u0438\u044f \u0432 \u043d\u0435\u043c \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u043e\u0433\u043e \u041f\u041e. \u041d\u0430\u0438\u0431\u043e\u043b\u0435\u0435 \u0443\u0434\u043e\u0431\u043d\u044b\u043c \u0438 \u044d\u0444\u0444\u0435\u043a\u0442\u0438\u0432\u043d\u044b\u043c \u044f\u0432\u043b\u044f\u0435\u0442\u0441\u044f Sysinternals Autoruns, \u043e\u0434\u043d\u0430\u043a\u043e \u043a\u0430\u043a \u0431\u044b\u043b\u043e \u043f\u0440\u043e\u0434\u0435\u043c\u043e\u043d\u0441\u0442\u0440\u0438\u0440\u043e\u0432\u0430\u043d\u043e, \u0434\u0430\u0436\u0435 \u043e\u043d \u043d\u0435 \u0441\u043f\u043e\u0441\u043e\u0431\u0435\u043d \u0434\u0435\u0442\u0435\u043a\u0442\u0438\u0440\u043e\u0432\u0430\u0442\u044c \u0432\u0441\u0435, \u0447\u0442\u043e \u043d\u0430\u043c \u043d\u0443\u0436\u043d\u043e.\u00a0<\/p>\n<p>\u0414\u043b\u044f \u0440\u0435\u0448\u0435\u043d\u0438\u044f \u044d\u0442\u043e\u0439 \u043f\u0440\u043e\u0431\u043b\u0435\u043c\u044b \u0431\u044b\u043b \u043f\u0440\u043e\u0434\u0435\u043c\u043e\u043d\u0441\u0442\u0440\u0438\u0440\u043e\u0432\u0430\u043d \u0430\u0432\u0442\u043e\u043c\u0430\u0442\u0438\u0437\u0438\u0440\u043e\u0432\u0430\u043d\u043d\u044b\u0439 \u043a\u043e\u043d\u0432\u0435\u0439\u0435\u0440 \u0441\u043a\u0440\u0438\u043f\u0442\u043e\u0432 \u043f\u043e \u043e\u0431\u0440\u0430\u0431\u043e\u0442\u043a\u0435 \u0441\u044b\u0440\u044b\u0445 \u0444\u0430\u0439\u043b\u043e\u0432 \u0440\u0435\u0435\u0441\u0442\u0440\u0430 Windows \u0432 SIEM-\u043f\u043e\u043d\u044f\u0442\u043d\u044b\u0439 \u0444\u043e\u0440\u043c\u0430\u0442 \u0434\u0430\u043d\u043d\u044b\u0445. \u0414\u0430\u043b\u0435\u0435, \u0432 SIEM-\u0435, \u043f\u0440\u0438 \u043f\u0440\u0430\u0432\u0438\u043b\u044c\u043d\u043e \u043d\u0430\u0441\u0442\u0440\u043e\u0435\u043d\u043d\u044b\u0445 \u0438\u0441\u043a\u043b\u044e\u0447\u0435\u043d\u0438\u044f\u0445, \u043f\u043e\u0438\u0441\u043a \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u0430 \u043d\u0435 \u0441\u043e\u0441\u0442\u0430\u0432\u0438\u0442 \u0431\u043e\u043b\u044c\u0448\u043e\u0433\u043e \u0442\u0440\u0443\u0434\u0430.<\/p>\n<p>\u041d\u0430 \u043e\u0431\u0440\u0430\u0442\u043d\u043e\u0439 \u0441\u0442\u043e\u0440\u043e\u043d\u0435 \u043c\u043e\u043d\u0435\u0442\u044b \u0436\u0435, \u0431\u0435\u0437\u0443\u0441\u043b\u043e\u0432\u043d\u043e \u0432\u044b\u0434\u0435\u043b\u044f\u0435\u0442\u0441\u044f \u0431\u041e\u043b\u044c\u0448\u0430\u044f \u0441\u043b\u043e\u0436\u043d\u043e\u0441\u0442\u044c \u0432 \u043f\u043e\u0434\u0433\u043e\u0442\u043e\u0432\u043a\u0435 \u0438 \u0434\u0430\u043b\u044c\u043d\u0435\u0439\u0448\u0435\u043c \u0430\u043d\u0430\u043b\u0438\u0437\u0435, \u043f\u043e \u0441\u0440\u0430\u0432\u043d\u0435\u043d\u0438\u044e \u0441 \u0442\u0435\u043c \u0436\u0435 Autoruns. \u0422\u0430\u043a \u0447\u0442\u043e \u0435\u0441\u043b\u0438 \u0432 \u0412\u0430\u0448\u0435\u0439 \u0440\u0430\u0431\u043e\u0442\u0435, \u0441\u043a\u043e\u0440\u043e\u0441\u0442\u044c \u0430\u043d\u0430\u043b\u0438\u0437\u0430 \u0438\u0433\u0440\u0430\u0435\u0442 \u0440\u0435\u0448\u0430\u044e\u0449\u0443\u044e \u0440\u043e\u043b\u044c, \u0442\u043e \u043f\u0440\u0435\u0434\u043b\u043e\u0436\u0435\u043d\u043d\u043e\u0435 \u0440\u0435\u0448\u0435\u043d\u0438\u0435 \u043c\u043e\u0436\u043d\u043e \u0440\u0430\u0441\u0441\u043c\u0430\u0442\u0440\u0438\u0432\u0430\u0442\u044c \u0432 \u043a\u0430\u0447\u0435\u0441\u0442\u0432\u0435 \u0434\u043e\u043f\u043e\u043b\u043d\u0435\u043d\u0438\u044f \u043a \u0441\u0443\u0449\u0435\u0441\u0442\u0432\u0443\u044e\u0449\u0438\u043c \u0440\u0435\u0448\u0435\u043d\u0438\u044f\u043c, \u0432 \u043a\u043e\u0442\u043e\u0440\u044b\u0445 \u043c\u043e\u0436\u043d\u043e \u043f\u0440\u043e\u0432\u043e\u0434\u0438\u0442\u044c \u043f\u0435\u0440\u0432\u0438\u0447\u043d\u044b\u0439 \u0430\u043d\u0430\u043b\u0438\u0437.<\/p>\n<h3>\u0421\u0441\u044b\u043b\u043a\u0438 \u043d\u0430 \u0438\u0441\u0442\u043e\u0447\u043d\u0438\u043a\u0438<\/h3>\n<p><a class=\"anchor\" name=\"%D0%A1%D1%81%D1%8B%D0%BB%D0%BA%D0%B8%20%D0%BD%D0%B0%20%D0%B8%D1%81%D1%82%D0%BE%D1%87%D0%BD%D0%B8%D0%BA%D0%B8\" id=\"\u0421\u0441\u044b\u043b\u043a\u0438 \u043d\u0430 \u0438\u0441\u0442\u043e\u0447\u043d\u0438\u043a\u0438\"><\/a><\/p>\n<ul>\n<li>\n<p><a href=\"https:\/\/habr.com\/ru\/articles\/425177\/\" rel=\"noopener noreferrer nofollow\">\u0418\u0437\u0443\u0447\u0430\u0435\u043c Adversarial Tactics, Techniques &amp; Common Knowledge (ATT@CK). Enterprise Tactics. \u0427\u0430\u0441\u0442\u044c 3 \/ \u0425\u0430\u0431\u0440<\/a><\/p>\n<\/li>\n<li>\n<p><a href=\"https:\/\/attack.mitre.org\/datasources\/DS0024\/\" rel=\"noopener noreferrer nofollow\">Windows Registry, Data Source DS0024 | MITRE ATT&amp;CK\u00ae<\/a><\/p>\n<\/li>\n<li>\n<p><a href=\"https:\/\/www.elastic.co\/guide\/en\/security\/current\/uncommon-registry-persistence-change.html\" rel=\"noopener noreferrer nofollow\">Uncommon Registry Persistence Change | Elastic Security Solution [8.10] | Elastic<\/a><\/p>\n<\/li>\n<li>\n<p><a href=\"http:\/\/docplayer.net\/20839173-Analysis-of-malicious-security-support-provider-dlls.html\" rel=\"noopener noreferrer nofollow\">Analysis of Malicious Security Support Provider DLLs &#8212; PDF Free Download<\/a><\/p>\n<\/li>\n<li>\n<p><a href=\"https:\/\/www.221bluestreet.com\/post\/office-templates-and-globaldotname-a-stealthy-office-persistence-technique\" rel=\"noopener noreferrer nofollow\">Office Templates and GlobalDotName &#8212; A Stealthy Office Persistence Technique &#8212; 0xShukruN<\/a><\/p>\n<\/li>\n<li>\n<p><a href=\"https:\/\/sensei-infosec.netlify.app\/forensics\/registry\/persistence\/2020\/04\/15\/malware-persistence-registry.html\" rel=\"noopener noreferrer nofollow\">Windows Registry: Malware Persistence<\/a><\/p>\n<\/li>\n<li>\n<p><a href=\"https:\/\/atomicredteam.io\/persistence\/T1546.011\/\" rel=\"noopener noreferrer nofollow\">T1546.011 &#8212; Explore Atomic Red Team<\/a><\/p>\n<\/li>\n<li>\n<p><a href=\"https:\/\/atomicredteam.io\/persistence\/T1546.002\/\" rel=\"noopener noreferrer nofollow\">T1546.002 &#8212; Explore Atomic Red Team<\/a><\/p>\n<\/li>\n<li>\n<p><a href=\"https:\/\/atomicredteam.io\/persistence\/T1546.007\/\" rel=\"noopener noreferrer nofollow\">T1546.007 &#8212; Explore Atomic Red Team<\/a><\/p>\n<\/li>\n<\/ul>\n<\/div>\n<\/div>\n<\/div>\n<p><!----><!----><\/div>\n<p><!----><!----><br \/> \u0441\u0441\u044b\u043b\u043a\u0430 \u043d\u0430 \u043e\u0440\u0438\u0433\u0438\u043d\u0430\u043b \u0441\u0442\u0430\u0442\u044c\u0438 <a href=\"https:\/\/habr.com\/ru\/articles\/771742\/\"> https:\/\/habr.com\/ru\/articles\/771742\/<\/a><\/p>\n","protected":false},"excerpt":{"rendered":"<div><!--[--><!--]--><\/div>\n<div id=\"post-content-body\">\n<div>\n<div class=\"article-formatted-body article-formatted-body article-formatted-body_version-2\">\n<div xmlns=\"http:\/\/www.w3.org\/1999\/xhtml\">\n<figure class=\"full-width\"><\/figure>\n<p>\u0412\u0441\u0435\u043c \u043f\u0440\u0438\u0432\u0435\u0442! \u041c\u0435\u043d\u044f \u0437\u043e\u0432\u0443\u0442 \u0421\u0435\u0440\u0433\u0435\u0439 \u041a\u0438\u0441\u043b\u0443\u0445\u0438\u043d, \u044f \u0440\u0430\u0431\u043e\u0442\u0430\u044e \u0430\u043d\u0430\u043b\u0438\u0442\u0438\u043a\u043e\u043c 3 \u043b\u0438\u043d\u0438\u0438 SOC, \u0438 \u043c\u043d\u0435 \u0435\u0441\u0442\u044c \u0447\u0435\u043c \u043f\u043e\u0434\u0435\u043b\u0438\u0442\u044c\u0441\u044f \u0432 \u043e\u0431\u043b\u0430\u0441\u0442\u0438 \u0440\u0435\u0430\u0433\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u044f \u043d\u0430 \u043a\u043e\u043c\u043f\u044c\u044e\u0442\u0435\u0440\u043d\u044b\u0435 \u0438\u043d\u0446\u0438\u0434\u0435\u043d\u0442\u044b \u043d\u0430 \u0445\u043e\u0441\u0442\u0430\u0445 \u043f\u043e\u0434 \u0443\u043f\u0440\u0430\u0432\u043b\u0435\u043d\u0438\u0435\u043c Windows.<\/p>\n<h3>\u0412\u0432\u0435\u0434\u0435\u043d\u0438\u0435<\/h3>\n<p>\u0412 \u0441\u0432\u043e\u0435\u0439 \u0440\u0430\u0431\u043e\u0442\u0435, \u0440\u0430\u0431\u043e\u0442\u043d\u0438\u043a\u0438 \u0418\u0411, \u043e\u0441\u043e\u0431\u0435\u043d\u043d\u043e \u0442\u0435, \u043a\u0442\u043e \u0441\u0432\u044f\u0437\u0430\u043d\u044b \u0441 \u0440\u0435\u0430\u0433\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u0435\u043c \u043d\u0430 \u0438\u043d\u0446\u0438\u0434\u0435\u043d\u0442\u044b, \u0444\u043e\u0440\u0435\u043d\u0437\u0438\u043a\u043e\u0439 \u0438\u043b\u0438 compromise assessment, \u043e\u0431\u044f\u0437\u0430\u0442\u0435\u043b\u044c\u043d\u043e \u0441\u0442\u0430\u043b\u043a\u0438\u0432\u0430\u044e\u0442\u0441\u044f \u0441 \u043d\u0435\u043e\u0431\u0445\u043e\u0434\u0438\u043c\u043e\u0441\u0442\u044c\u044e \u043a\u043e\u043f\u0430\u0442\u044c\u0441\u044f \u0432 \u043e\u043f\u0435\u0440\u0430\u0446\u0438\u043e\u043d\u043d\u043e\u0439 \u0441\u0438\u0441\u0442\u0435\u043c\u0435 \u0433\u043b\u0443\u0431\u0436\u0435 \u0438 \u0431\u044b\u0441\u0442\u0440\u0435\u0435, \u0447\u0435\u043c \u044d\u0442\u043e \u0434\u0435\u043b\u0430\u044e\u0442 \u043e\u0441\u0442\u0430\u043b\u044c\u043d\u044b\u0435. \u0422\u0430\u043a, \u043f\u0440\u0438 \u0440\u0435\u0430\u0433\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u0438 \u043d\u0430 \u0430\u043d\u043e\u043c\u0430\u043b\u044c\u043d\u043e\u0435 \u0441\u043e\u0431\u044b\u0442\u0438\u0435 (\u0438\u043b\u0438 \u0435\u0433\u043e \u043f\u043e\u0438\u0441\u043a\u0435), \u0441\u043f\u0435\u0446\u0438\u0430\u043b\u0438\u0441\u0442\u044b, \u0432 \u043f\u043e\u0434\u0430\u0432\u043b\u044f\u044e\u0449\u0438\u0445 \u0441\u043b\u0443\u0447\u0430\u044f\u0445, \u0441\u043c\u043e\u0442\u0440\u044f\u0442 \u0442\u043e\u043b\u044c\u043a\u043e \u0436\u0443\u0440\u043d\u0430\u043b\u044b \u0441\u043e\u0431\u044b\u0442\u0438\u0439 \u0441\u0438\u0441\u0442\u0435\u043c (\u043b\u043e\u043a\u0430\u043b\u044c\u043d\u043e \u0438\u043b\u0438 \u0436\u0435 \u0447\u0435\u0440\u0435\u0437 SIEM). \u0418, \u0435\u0441\u043b\u0438 \u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u0438 \u043e\u0442\u0442\u0443\u0434\u0430 \u043e\u043a\u0430\u0437\u044b\u0432\u0430\u0435\u0442\u0441\u044f \u043d\u0435\u0434\u043e\u0441\u0442\u0430\u0442\u043e\u0447\u043d\u043e, \u0442\u043e \u043f\u0440\u0438\u0431\u0435\u0433\u0430\u044e\u0442 \u043a \u043e\u0441\u043e\u0431\u044b\u043c \u043c\u0435\u0440\u0430\u043c, \u0432\u0440\u043e\u0434\u0435 \u043b\u043e\u043a\u0430\u043b\u044c\u043d\u044b\u0445 \u0430\u043d\u0430\u043b\u0438\u0437\u0430 \u0434\u0430\u043c\u043f\u0430 \u041e\u0417\u0423 \u0438 \u0430\u043d\u0430\u043b\u0438\u0437\u0430 Amcache, Prefetch, MFT, AppCompatCache, UserAssist \u0438 \u0442.\u0434.\u00a0<\/p>\n<p>\u041a \u0430\u043d\u0430\u043b\u0438\u0437\u0443 \u0440\u0435\u0435\u0441\u0442\u0440\u0430 \u0436\u0435 \u043f\u0440\u0438\u0431\u0435\u0433\u0430\u044e\u0442, \u043b\u0438\u0431\u043e \u0434\u043b\u044f \u0440\u0443\u0447\u043d\u043e\u0433\u043e \u043f\u0440\u043e\u0441\u043c\u043e\u0442\u0440\u0430 \u043a\u0430\u043a\u043e\u0439-\u0442\u043e \u0443\u043d\u0438\u043a\u0430\u043b\u044c\u043d\u043e\u0439 \u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u0438 \u043e \u0445\u043e\u0441\u0442\u0435, \u043b\u0438\u0431\u043e \u0434\u043b\u044f \u043f\u043e\u0438\u0441\u043a\u0430 \u0441\u043e\u0431\u044b\u0442\u0438\u0439 \u0441 \u043f\u043e\u043c\u043e\u0449\u044c\u044e \u0441\u0442\u043e\u0440\u043e\u043d\u043d\u0438\u0445 \u0430\u0432\u0442\u043e\u043c\u0430\u0442\u0438\u0437\u0438\u0440\u043e\u0432\u0430\u043d\u043d\u044b\u0445 \u0443\u0442\u0438\u043b\u0438\u0442 (<a href=\"https:\/\/learn.microsoft.com\/en-us\/sysinternals\/downloads\/autoruns\" rel=\"noopener noreferrer nofollow\"><strong><u>Sysinternals Autoruns<\/u><\/strong><\/a>, <a href=\"https:\/\/github.com\/last-byte\/PersistenceSniper\" rel=\"noopener noreferrer nofollow\"><strong><u>PersistenceSniper<\/u><\/strong><\/a>, <a href=\"https:\/\/github.com\/keydet89\/RegRipper3.0\" rel=\"noopener noreferrer nofollow\"><strong><u>RegRipper<\/u><\/strong><\/a>), \u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u0441\u043c\u043e\u0442\u0440\u044f\u0442 \u043d\u0430 \u043e\u043f\u0440\u0435\u0434\u0435\u043b\u0435\u043d\u043d\u044b\u0439 \u043d\u0430\u0431\u043e\u0440 \u043c\u0435\u0441\u0442, \u043a\u043e\u0442\u043e\u0440\u044b\u043c\u0438 \u043c\u043e\u0436\u0435\u0442 \u0432\u043e\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u044c\u0441\u044f \u0437\u043b\u043e\u0443\u043c\u044b\u0448\u043b\u0435\u043d\u043d\u0438\u043a. \u042d\u0442\u043e\u0442 \u0432\u0430\u0440\u0438\u0430\u043d\u0442 \u0430\u043d\u0430\u043b\u0438\u0437\u0430 \u0440\u0435\u0435\u0441\u0442\u0440\u0430, \u0430 \u0442\u0430\u043a\u0436\u0435 \u043f\u0440\u043e\u0447\u0438\u0435 \u043c\u0435\u0442\u043e\u0434\u044b, \u0432 \u043a\u043e\u0442\u043e\u0440\u044b\u0445 \u0442\u0440\u0435\u0431\u0443\u0435\u0442\u0441\u044f \u043f\u0440\u043e\u0441\u043c\u0430\u0442\u0440\u0438\u0432\u0430\u0442\u044c \u0432\u0440\u0443\u0447\u043d\u0443\u044e \u043a\u0430\u0436\u0434\u0443\u044e \u0432\u0435\u0442\u043a\u0443, \u044f \u0441\u0447\u0438\u0442\u0430\u044e \u043d\u0435\u044d\u0444\u0444\u0435\u043a\u0442\u0438\u0432\u043d\u044b\u043c\u0438, \u0438 \u0434\u0430\u043b\u0435\u0435 \u0432 \u0441\u0442\u0430\u0442\u044c\u0435 \u044f \u043f\u043e\u044f\u0441\u043d\u044e \u043f\u043e\u0447\u0435\u043c\u0443, \u0438 \u043f\u043e\u043a\u0430\u0436\u0443 \u043f\u0440\u0438\u043c\u0435\u0440, \u043a\u0430\u043a \u044f \u0440\u0435\u0448\u0438\u043b \u044d\u0442\u0443 \u043f\u0440\u043e\u0431\u043b\u0435\u043c\u0443.\u00a0<\/p>\n<h4>\u041e\u0433\u043b\u0430\u0432\u043b\u0435\u043d\u0438\u0435<\/h4>\n<ul>\n<li>\n<p><a href=\"#%D0%9A%D1%80%D0%B0%D1%82%D0%BA%D0%B0%D1%8F%20%D1%82%D0%B5%D0%BE%D1%80%D0%B8%D1%8F\" rel=\"noopener noreferrer nofollow\">\u041a\u0440\u0430\u0442\u043a\u0430\u044f \u0442\u0435\u043e\u0440\u0438\u044f<\/a><\/p>\n<\/li>\n<li>\n<p><a href=\"#%D0%9F%D1%80%D0%BE%D0%B1%D0%BB%D0%B5%D0%BC%D0%B0\" rel=\"noopener noreferrer nofollow\">\u041f\u0440\u043e\u0431\u043b\u0435\u043c\u0430<\/a><\/p>\n<\/li>\n<li>\n<p><a href=\"#%D0%9F%D1%80%D0%B5%D0%B4%D0%BB%D0%BE%D0%B6%D0%B5%D0%BD%D0%BD%D0%BE%D0%B5%20%D1%80%D0%B5%D1%88%D0%B5%D0%BD%D0%B8%D0%B5\" rel=\"noopener noreferrer nofollow\">\u041f\u0440\u0435\u0434\u043b\u043e\u0436\u0435\u043d\u043d\u043e\u0435 \u0440\u0435\u0448\u0435\u043d\u0438\u0435<\/a><\/p>\n<\/li>\n<li>\n<p><a href=\"#%D0%94%D0%B5%D0%BC%D0%BE%D0%BD%D1%81%D1%82%D1%80%D0%B0%D1%86%D0%B8%D1%8F%20%D0%BD%D0%B0%20%D0%BF%D1%80%D0%B8%D0%BC%D0%B5%D1%80%D0%B0%D1%85\" rel=\"noopener noreferrer nofollow\">\u0414\u0435\u043c\u043e\u043d\u0441\u0442\u0440\u0430\u0446\u0438\u044f \u043d\u0430 \u043f\u0440\u0438\u043c\u0435\u0440\u0430\u0445<\/a><\/p>\n<\/li>\n<li>\n<p><a href=\"#%D0%92%D1%8B%D0%B2%D0%BE%D0%B4%D1%8B\" rel=\"noopener noreferrer nofollow\">\u0412\u044b\u0432\u043e\u0434\u044b<\/a><\/p>\n<\/li>\n<li>\n<p><a href=\"#%D0%A1%D1%81%D1%8B%D0%BB%D0%BA%D0%B8%20%D0%BD%D0%B0%20%D0%B8%D1%81%D1%82%D0%BE%D1%87%D0%BD%D0%B8%D0%BA%D0%B8\" rel=\"noopener noreferrer nofollow\">\u0421\u0441\u044b\u043b\u043a\u0438 \u043d\u0430 \u0438\u0441\u0442\u043e\u0447\u043d\u0438\u043a\u0438<\/a><\/p>\n<\/li>\n<\/ul>\n<h3>\u041a\u0440\u0430\u0442\u043a\u0430\u044f \u0442\u0435\u043e\u0440\u0438\u044f<\/h3>\n<p><a class=\"anchor\" name=\"%D0%9A%D1%80%D0%B0%D1%82%D0%BA%D0%B0%D1%8F%20%D1%82%D0%B5%D0%BE%D1%80%D0%B8%D1%8F\" id=\"\u041a\u0440\u0430\u0442\u043a\u0430\u044f \u0442\u0435\u043e\u0440\u0438\u044f\">\u0442\u0435\u043e\u0440\u0438\u044f&#187;<\/a><\/p>\n<p>\u0420\u0435\u0435\u0441\u0442\u0440 Windows \u044d\u0442\u043e \u0431\u0430\u0437\u0430 \u0434\u0430\u043d\u043d\u044b\u0445 \u0441\u0438\u0441\u0442\u0435\u043c\u044b, \u043a\u043e\u0442\u043e\u0440\u0430\u044f \u043e\u0442\u0441\u043b\u0435\u0436\u0438\u0432\u0430\u0435\u0442 \u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u044e, \u043a\u0430\u0441\u0430\u044e\u0449\u0443\u044e\u0441\u044f \u043a\u043e\u043d\u0444\u0438\u0433\u0443\u0440\u0430\u0446\u0438\u0438, \u0434\u0435\u0439\u0441\u0442\u0432\u0438\u0439, \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u0435\u0439 \u0438 \u0442. \u0434. \u0421\u043e\u0441\u0442\u043e\u0438\u0442 \u043e\u043d \u0438\u0437 \u0438\u0435\u0440\u0430\u0440\u0445\u0438\u0447\u0435\u0441\u043a\u043e\u0433\u043e \u043d\u0430\u0431\u043e\u0440\u0430 \u043f\u0430\u043f\u043e\u043a (\u0432\u0435\u0442\u043e\u043a), \u0432 \u043a\u043e\u0442\u043e\u0440\u044b\u0445 \u0445\u0440\u0430\u043d\u044f\u0442\u0441\u044f \u0434\u0440\u0443\u0433\u0438\u0435 \u043f\u0430\u043f\u043a\u0438, \u043a\u043b\u044e\u0447\u0438 \u0438 \u0438\u0445 \u0437\u043d\u0430\u0447\u0435\u043d\u0438\u044f. \u0424\u0438\u0437\u0438\u0447\u0435\u0441\u043a\u0438, \u043a\u0443\u0441\u0442\u044b (\u043a\u043e\u0440\u043d\u0435\u0432\u044b\u0435 \u0432\u0435\u0442\u043a\u0438) \u0438 \u0432\u0435\u0442\u043a\u0438 \u0445\u0440\u0430\u043d\u044f\u0442\u0441\u044f \u0432 \u0441\u0438\u0441\u0442\u0435\u043c\u0435, \u0432 \u043d\u0435\u0441\u043a\u043e\u043b\u044c\u043a\u0438\u0445 \u043c\u0435\u0441\u0442\u0430\u0445:<\/p>\n<ul>\n<li>\n<p>\u0412 \u043e\u043f\u0435\u0440\u0430\u0442\u0438\u0432\u043d\u043e\u0439 \u043f\u0430\u043c\u044f\u0442\u0438 &#8212; \u043a\u0443\u0441\u0442 <em>HKEY_LOCAL_MACHINE\\Hardware<\/em>;<\/p>\n<\/li>\n<li>\n<p><code>%SystemRoot%\\System32\\Config\\*<\/code> &#8212; \u043e\u0441\u043d\u043e\u0432\u043d\u044b\u0435 \u0432\u0435\u0442\u043a\u0438 <em>SYSTEM<\/em>, <em>SAM<\/em>, <em>SECURITY<\/em>, <em>SOFTWARE <\/em>\u0438 <em>DEFAULT <\/em>\u043a\u0443\u0441\u0442\u0430 <em>HKEY_LOCAL_MACHINE;<\/em><\/p>\n<\/li>\n<li>\n<p><code>C:\\Users\\%Username%\\NTUSER.DAT<\/code> &#8212; \u0444\u0430\u0439\u043b\u044b \u043a\u0443\u0441\u0442\u043e\u0432 \u0440\u0435\u0435\u0441\u0442\u0440\u0430 \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u0435\u0439 <em>HKEY_CURRENT_USER<\/em>;<\/p>\n<\/li>\n<li>\n<p><code>%AppData%\\Local\\Microsoft\\Windows\\UsrClass.dat<\/code> &#8212; \u043a\u0443\u0441\u0442 <em>HKEY_CLASSES_ROOT <\/em>(\u0442\u0438\u043f\u044b \u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u0438 \u0438\u0437 \u043f\u043e\u0434\u0440\u0430\u0437\u0434\u0435\u043b\u0430 <em>HKEY_LOCAL_MACHINE\\Software\\Classes<\/em>);<\/p>\n<\/li>\n<li>\n<p><code> %SystemRoot%\\AppCompat\\Programs\\Amcache.hve<\/code> &#8212; \u0444\u0430\u0439\u043b \u043a\u043b\u044e\u0447\u0430 Amcache (\u0441\u043e\u0434\u0435\u0440\u0436\u0438\u0442 \u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u044e \u043e \u0432\u0441\u0435\u0445 \u0438\u0441\u043f\u043e\u043b\u043d\u044f\u0435\u043c\u044b\u0445 \u0444\u0430\u0439\u043b\u0430\u0445).<\/p>\n<\/li>\n<\/ul>\n<p>\u0417\u043d\u0430\u0447\u0435\u043d\u0438\u0435 \u043a\u043b\u044e\u0447\u0430 \u043c\u043e\u0436\u0435\u0442 \u0438\u043c\u0435\u0442\u044c \u043e\u0434\u0438\u043d \u0438\u0437 \u0442\u0438\u043f\u043e\u0432 \u0434\u0430\u043d\u043d\u044b\u0445:\u00a0<\/p>\n<ul>\n<li>\n<p>\u0421\u0442\u0440\u043e\u043a\u0430 (<em>REG_SZ<\/em>) &#8212; \u0421\u0442\u0440\u043e\u043a\u0438 \u0441 \u0431\u0443\u043a\u0432\u0435\u043d\u043d\u043e-\u0446\u0438\u0444\u0440\u043e\u0432\u044b\u043c\u0438 \u0441\u0438\u043c\u0432\u043e\u043b\u0430\u043c\u0438;<\/p>\n<\/li>\n<li>\n<p>\u041c\u043d\u043e\u0433\u043e\u0441\u0442\u0440\u043e\u0447\u043d\u043e\u0435 \u0437\u043d\u0430\u0447\u0435\u043d\u0438\u0435 (<em>REG_MULTI_SZ<\/em>) &#8212; \u0421\u043f\u0438\u0441\u043e\u043a \u0437\u043d\u0430\u0447\u0435\u043d\u0438\u0439, \u0430 \u043d\u0435 \u043e\u0434\u043d\u043e\u0441\u0442\u0440\u043e\u0447\u043d\u044b\u0439 \u0442\u0435\u043a\u0441\u0442;<\/p>\n<\/li>\n<li>\n<p>\u0420\u0430\u0441\u0448\u0438\u0440\u044f\u0435\u043c\u043e\u0435 \u0441\u0442\u0440\u043e\u043a\u043e\u0432\u043e\u0435 \u0437\u043d\u0430\u0447\u0435\u043d\u0438\u0435 (<em>REG_EXPAND_SZ<\/em>) &#8212; \u041f\u0435\u0440\u0435\u043c\u0435\u043d\u043d\u044b\u0435, \u0444\u0430\u043a\u0442\u0438\u0447\u0435\u0441\u043a\u043e\u0435 \u0437\u043d\u0430\u0447\u0435\u043d\u0438\u0435 \u043a\u043e\u0442\u043e\u0440\u044b\u0445 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u0435\u0442\u0441\u044f \u043e\u043f\u0435\u0440\u0430\u0446\u0438\u043e\u043d\u043d\u043e\u0439 \u0441\u0438\u0441\u0442\u0435\u043c\u043e\u0439 \u0432\u043e \u0432\u0440\u0435\u043c\u044f \u0432\u044b\u043f\u043e\u043b\u043d\u0435\u043d\u0438\u044f \u0438\u043b\u0438 \u043f\u0440\u0438 \u043d\u0435\u043e\u0431\u0445\u043e\u0434\u0438\u043c\u043e\u0441\u0442\u0438;<\/p>\n<\/li>\n<li>\n<p>\u0414\u0432\u043e\u0438\u0447\u043d\u044b\u0435 \u0437\u043d\u0430\u0447\u0435\u043d\u0438\u044f (<em>REG_BINARY<\/em>);<\/p>\n<\/li>\n<li>\n<p>\u0428\u0435\u0441\u0442\u043d\u0430\u0434\u0446\u0430\u0442\u0435\u0440\u0438\u0447\u043d\u044b\u0435 \u0447\u0438\u0441\u043b\u0430 (<em>DWORD<\/em> \u0438 <em>QWORD<\/em>).<\/p>\n<\/li>\n<li>\n<p>&#8230;<\/p>\n<\/li>\n<\/ul>\n<p>\u0422\u0430\u043a \u043a\u0430\u043a \u0440\u0435\u0435\u0441\u0442\u0440 \u0441\u043e\u0434\u0435\u0440\u0436\u0438\u0442 \u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u044e, \u0441\u0432\u044f\u0437\u0430\u043d\u043d\u0443\u044e \u0441 \u043a\u043e\u043d\u0444\u0438\u0433\u0443\u0440\u0430\u0446\u0438\u0435\u0439 \u0441\u0438\u0441\u0442\u0435\u043c\u044b, \u0442\u043e \u0437\u043b\u043e\u0443\u043c\u044b\u0448\u043b\u0435\u043d\u043d\u0438\u043a\u0438 \u0430\u043a\u0442\u0438\u0432\u043d\u043e \u044d\u0442\u0438\u043c \u043f\u043e\u043b\u044c\u0437\u0443\u044e\u0442\u0441\u044f, \u0434\u043e\u0431\u0430\u0432\u043b\u044f\u044f \u0438\u043b\u0438 \u0438\u0437\u043c\u0435\u043d\u044f\u044f \u0432\u0435\u0442\u043a\u0438 \u0432 \u0441\u0432\u043e\u0438\u0445 \u0446\u0435\u043b\u044f\u0445, \u0447\u0442\u043e \u0431\u044b \u043f\u0440\u0438 \u043e\u043f\u0440\u0435\u0434\u0435\u043b\u0435\u043d\u043d\u044b\u0445 \u0434\u0435\u0439\u0441\u0442\u0432\u0438\u044f\u0445 \u0432\u044b\u043f\u043e\u043b\u043d\u044f\u043b\u0430\u0441\u044c \u0438\u0445 \u0437\u043b\u043e\u043d\u0430\u043c\u0435\u0440\u0435\u043d\u043d\u0430\u044f \u043f\u0440\u043e\u0433\u0440\u0430\u043c\u043c\u0430 \u0438\u043b\u0438 \u043f\u0440\u0435\u0434\u043e\u0441\u0442\u0430\u0432\u043b\u044f\u043b\u0441\u044f \u043d\u0435\u0441\u0430\u043d\u043a\u0446\u0438\u043e\u043d\u0438\u0440\u043e\u0432\u0430\u043d\u043d\u044b\u0439 \u0434\u043e\u0441\u0442\u0443\u043f \u043a \u0441\u0438\u0441\u0442\u0435\u043c\u0435. \u041d\u0430\u0438\u0431\u043e\u043b\u0435\u0435 \u043f\u043e\u043f\u0443\u043b\u044f\u0440\u043d\u044b\u0435 \u0432\u0435\u0442\u043a\u0438 \u0440\u0435\u0435\u0441\u0442\u0440\u0430, \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u0435\u043c\u044b\u0435 \u0432\u043e \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u044b\u0445 \u0446\u0435\u043b\u044f\u0445 \u043e\u043f\u0438\u0441\u0430\u043d\u044b \u0440\u0430\u0441\u043f\u0440\u0435\u0434\u0435\u043b\u0435\u043d\u043d\u043e \u0432 \u0440\u0430\u0437\u043b\u0438\u0447\u043d\u044b\u0445 \u0442\u0435\u0445\u043d\u0438\u043a\u0430\u0445 \u0442\u0430\u043a\u0442\u0438\u043a\u0438 \u0417\u0430\u043a\u0440\u0435\u043f\u043b\u0435\u043d\u0438\u044f \u0432 \u043c\u0430\u0442\u0440\u0438\u0446\u0435 MITRE (<a href=\"https:\/\/attack.mitre.org\/tactics\/TA0003\/\" rel=\"noopener noreferrer nofollow\"><u>Persistence, Tactic TA0003 | MITRE ATT&amp;CK<\/u><\/a>). \u0422\u0430\u043a, \u0441\u0430\u043c\u043e\u0439 \u0440\u0430\u0441\u043f\u0440\u043e\u0441\u0442\u0440\u0430\u043d\u0435\u043d\u043d\u043e\u0439 \u0442\u0430\u043a\u0442\u0438\u043a\u043e\u0439 \u0441\u0447\u0438\u0442\u0430\u0435\u0442\u0441\u044f \u0434\u043e\u0431\u0430\u0432\u043b\u0435\u043d\u0438\u0435 \u0441\u0441\u044b\u043b\u043a\u0438 \u043d\u0430 \u0438\u0441\u043f\u043e\u043b\u043d\u044f\u0435\u043c\u044b\u0439 \u0444\u0430\u0439\u043b \u0432 \u0432\u0435\u0442\u043a\u0443 \u0440\u0435\u0435\u0441\u0442\u0440\u0430 \u0430\u0432\u0442\u043e\u0437\u0430\u043f\u0443\u0441\u043a\u0430 \u0441\u0438\u0441\u0442\u0435\u043c\u044b <code>HKEY_LOCAL_MACHINE\\Software\\Microsoft\\Windows\\CurrentVersion\\Run<\/code>, \u0432 \u0440\u0435\u0437\u0443\u043b\u044c\u0442\u0430\u0442\u0435 \u0447\u0435\u0433\u043e, \u0443\u043a\u0430\u0437\u0430\u043d\u043d\u0430\u044f \u043f\u0440\u043e\u0433\u0440\u0430\u043c\u043c\u0430 \u0431\u0443\u0434\u0435\u0442 \u0432\u044b\u043f\u043e\u043b\u043d\u044f\u0442\u0441\u044f \u043a\u0430\u0436\u0434\u044b\u0439 \u0440\u0430\u0437 \u043f\u0440\u0438 \u0432\u043a\u043b\u044e\u0447\u0435\u043d\u0438\u0438 \u043e\u043f\u0435\u0440\u0430\u0446\u0438\u043e\u043d\u043d\u043e\u0439 \u0441\u0438\u0441\u0442\u0435\u043c\u044b.<\/p>\n<p>\u0414\u043b\u044f \u0430\u043d\u0430\u043b\u0438\u0437\u0430 \u0440\u0435\u0435\u0441\u0442\u0440\u0430 \u0441\u0443\u0449\u0435\u0441\u0442\u0432\u0443\u0435\u0442 \u043d\u0435\u0441\u043a\u043e\u043b\u044c\u043a\u043e \u0443\u0442\u0438\u043b\u0438\u0442 \u0438 \u0441\u043f\u043e\u0441\u043e\u0431\u043e\u0432:<\/p>\n<ul>\n<li>\n<p>\u0421\u0442\u0430\u043d\u0434\u0430\u0440\u0442\u043d\u044b\u0439, \u0432\u0441\u0442\u0440\u043e\u0435\u043d\u043d\u044b\u0439 \u0432 \u0441\u0438\u0441\u0442\u0435\u043c\u0443, \u0434\u043b\u044f \u0440\u0430\u0431\u043e\u0442\u044b \u0441 \u0440\u0435\u0435\u0441\u0442\u0440\u043e\u043c \u0445\u043e\u0441\u0442\u0430, \u043d\u0430\u0436\u0438\u0432\u0443\u044e:<\/p>\n<ul>\n<li>\n<p><code>%SystemRoot%\\regedit.exe<\/code> &#8212; \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u0435\u0442 \u043f\u0440\u043e\u0441\u043c\u0430\u0442\u0440\u0438\u0432\u0430\u0442\u044c \u0438 \u0438\u0437\u043c\u0435\u043d\u044f\u0442\u044c, \u0430 \u0442\u0430\u043a\u0436\u0435 \u0438\u043c\u043f\u043e\u0440\u0442\u0438\u0440\u043e\u0432\u0430\u0442\u044c \u0438 \u044d\u043a\u0441\u043f\u043e\u0440\u0442\u0438\u0440\u043e\u0432\u0430\u0442\u044c \u0432\u0435\u0442\u043a\u0438 \u0438 \u043a\u043b\u044e\u0447\u0438 \u0440\u0435\u0435\u0441\u0442\u0440\u0430;<\/p>\n<\/li>\n<\/ul>\n<\/li>\n<li>\n<p>\u0421\u0442\u043e\u0440\u043e\u043d\u043d\u0438\u0435 \u0430\u043d\u0430\u043b\u043e\u0433\u0438, \u0434\u043b\u044f \u0440\u0430\u0431\u043e\u0442\u044b \u0441 \u0432\u044b\u0433\u0440\u0443\u0436\u0435\u043d\u043d\u044b\u043c\u0438 \u0444\u0430\u0439\u043b\u0430\u043c\u0438 \u0440\u0435\u0435\u0441\u0442\u0440\u0430, \u0434\u0440\u0443\u0433\u0438\u0445 \u0445\u043e\u0441\u0442\u043e\u0432:<\/p>\n<ul>\n<li>\n<p><a href=\"https:\/\/ericzimmerman.github.io\/#!index.md\" rel=\"noopener noreferrer nofollow\">Registry Explorer<\/a> &#8212; \u0441 \u0433\u0440\u0430\u0444\u0438\u0447\u0435\u0441\u043a\u0438\u043c \u0438\u043d\u0442\u0435\u0440\u0444\u0435\u0439\u0441\u043e\u043c;<\/p>\n<\/li>\n<li>\n<p><a href=\"https:\/\/github.com\/EricZimmerman\/RECmd?ysclid=log2lalhe399482917\" rel=\"noopener noreferrer nofollow\">RECmd<\/a> &#8212; \u043a\u043e\u043d\u0441\u043e\u043b\u044c\u043d\u044b\u0439 \u0432\u0430\u0440\u0438\u0430\u043d\u0442;<\/p>\n<\/li>\n<\/ul>\n<\/li>\n<li>\n<p>\u0410\u043d\u0430\u043b\u0438\u0437\u0430\u0442\u043e\u0440 \u0432\u044b\u0433\u0440\u0443\u0436\u0435\u043d\u043d\u044b\u0445 \u0444\u0430\u0439\u043b\u043e\u0432 \u0438\u043b\u0438 \u0432\u0435\u0442\u043e\u043a \u0440\u0435\u0435\u0441\u0442\u0440\u0430, \u043f\u043e \u0441\u0442\u043e\u0440\u043e\u043d\u043d\u0438\u043c \u0430\u043b\u0433\u043e\u0440\u0438\u0442\u043c\u0430\u043c:<\/p>\n<ul>\n<li>\n<p><a href=\"https:\/\/github.com\/keydet89\/RegRipper3.0?ysclid=log2lmvqc1318598917\" rel=\"noopener noreferrer nofollow\">RegRipper<\/a>;<\/p>\n<\/li>\n<li>\n<p><a href=\"https:\/\/learn.microsoft.com\/en-us\/sysinternals\/downloads\/autoruns\" rel=\"noopener noreferrer nofollow\">Sysinternals Autoruns<\/a> (\u0442\u0440\u0435\u0431\u0443\u0435\u0442\u0441\u044f \u0434\u043e\u043f\u043e\u043b\u043d\u0438\u0442\u0435\u043b\u044c\u043d\u043e \u0432\u044b\u0433\u0440\u0443\u0437\u043a\u0430 \u043d\u0435\u043a\u043e\u0442\u043e\u0440\u044b\u0445 \u0431\u0438\u0431\u043b\u0438\u043e\u0442\u0435\u043a \u0434\u043b\u044f \u0440\u0430\u0431\u043e\u0442\u044b);<\/p>\n<\/li>\n<\/ul>\n<\/li>\n<li>\n<p>\u0410\u043d\u0430\u043b\u0438\u0437\u0430\u0442\u043e\u0440\u044b \u0440\u0430\u0431\u043e\u0442\u0430\u044e\u0449\u0435\u0439 \u0441\u0438\u0441\u0442\u0435\u043c\u044b, \u043f\u043e \u0441\u0442\u043e\u0440\u043e\u043d\u043d\u0438\u043c \u0430\u043b\u0433\u043e\u0440\u0438\u0442\u043c\u0430\u043c:<\/p>\n<ul>\n<li>\n<p><a href=\"https:\/\/learn.microsoft.com\/en-us\/sysinternals\/downloads\/autoruns\" rel=\"noopener noreferrer nofollow\">Sysinternals Autoruns<\/a>;<\/p>\n<\/li>\n<li>\n<p><a href=\"https:\/\/github.com\/last-byte\/PersistenceSniper\" rel=\"noopener noreferrer nofollow\">PersistenceSniper<\/a>;<\/p>\n<\/li>\n<\/ul>\n<\/li>\n<li>\n<p>\u0410\u043d\u0430\u043b\u0438\u0437 \u0438\u0437\u043c\u0435\u043d\u0435\u043d\u0438\u0439, \u0432\u044b\u043f\u043e\u043b\u043d\u044f\u0435\u043c\u044b\u0445 \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u0430\u043c\u0438 \u0441\u0438\u0441\u0442\u0435\u043c\u044b \u0432 \u0441\u043e\u0431\u044b\u0442\u0438\u044f\u0445 \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u0438 (\u0442\u0440\u0435\u0431\u0443\u0435\u0442\u0441\u044f \u0434\u043e\u043f\u043e\u043b\u043d\u0438\u0442\u0435\u043b\u044c\u043d\u0430\u044f \u043f\u0440\u0435\u0434\u0432\u0430\u0440\u0438\u0442\u0435\u043b\u044c\u043d\u0430\u044f \u043d\u0430\u0441\u0442\u0440\u043e\u0439\u043a\u0430):<\/p>\n<ul>\n<li>\n<p>\u0421\u043e\u0431\u044b\u0442\u0438\u044f <a href=\"https:\/\/learn.microsoft.com\/en-us\/sysinternals\/downloads\/sysmon\" rel=\"noopener noreferrer nofollow\">Sysmon<\/a>: 12 (\u0421\u043e\u0437\u0434\u0430\u043d\u0438\u0435\/\u0443\u0434\u0430\u043b\u0435\u043d\u0438\u0435 \u043e\u0431\u044a\u0435\u043a\u0442\u0430 \u0440\u0435\u0435\u0441\u0442\u0440\u0430), 13 (\u0417\u0430\u0434\u0430\u043d\u0438\u0435 \u0437\u043d\u0430\u0447\u0435\u043d\u0438\u044f \u0440\u0435\u0435\u0441\u0442\u0440\u0430), 14 (\u041f\u0435\u0440\u0435\u0438\u043c\u0435\u043d\u043e\u0432\u0430\u043d\u0438\u0435 \u043a\u043b\u044e\u0447\u0430 \u0438 \u0437\u043d\u0430\u0447\u0435\u043d\u0438\u044f \u0440\u0435\u0435\u0441\u0442\u0440\u0430);<\/p>\n<\/li>\n<li>\n<p>\u0421\u043e\u0431\u044b\u0442\u0438\u044f Security: 4657 (\u0417\u043d\u0430\u0447\u0435\u043d\u0438\u0435 \u0440\u0435\u0435\u0441\u0442\u0440\u0430 \u0438\u0437\u043c\u0435\u043d\u0435\u043d\u043e);<\/p>\n<\/li>\n<\/ul>\n<\/li>\n<li>\n<p>\u0410\u043d\u0430\u043b\u0438\u0437 \u0440\u0435\u0435\u0441\u0442\u0440\u0430 \u0438\u0437 \u0434\u0430\u043c\u043f\u0430 \u043e\u043f\u0435\u0440\u0430\u0442\u0438\u0432\u043d\u043e\u0439 \u043f\u0430\u043c\u044f\u0442\u0438:<\/p>\n<ul>\n<li>\n<p><a href=\"https:\/\/github.com\/volatilityfoundation\/volatility\" rel=\"noopener noreferrer nofollow\">Volatility<\/a>.<\/p>\n<\/li>\n<\/ul>\n<\/li>\n<\/ul>\n<h3>\u041f\u0440\u043e\u0431\u043b\u0435\u043c\u0430<\/h3>\n<p><a class=\"anchor\" name=\"%D0%9F%D1%80%D0%BE%D0%B1%D0%BB%D0%B5%D0%BC%D0%B0\" id=\"\u041f\u0440\u043e\u0431\u043b\u0435\u043c\u0430\">\u0435\u043c\u0430&#187;><\/a><\/p>\n<p>\u041f\u043e\u0442\u0440\u0430\u0442\u0438\u0432 \u043d\u0435\u0441\u043a\u043e\u043b\u044c\u043a\u043e \u0432\u0435\u0447\u0435\u0440\u043e\u0432 \u043d\u0430 \u043a\u043e\u043d\u0441\u043e\u043b\u0438\u0434\u0430\u0446\u0438\u044e \u0432\u0441\u0435\u0439 \u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u0438 \u0438\u0437 \u043c\u0430\u0442\u0440\u0438\u0446\u044b <a href=\"https:\/\/attack.mitre.org\/tactics\/TA0003\/\" rel=\"noopener noreferrer nofollow\">MITRE <\/a>\u0438 \u0434\u043e\u043f\u043e\u043b\u043d\u0438\u0442\u0435\u043b\u044c\u043d\u044b\u0439 \u0441\u0431\u043e\u0440, \u043d\u0435 \u043e\u043f\u0438\u0441\u0430\u043d\u043d\u044b\u0445 \u0432 \u043d\u0435\u0439 \u043c\u0435\u0442\u043e\u0434\u043e\u0432 \u0430\u0432\u0442\u043e\u0437\u0430\u043f\u0443\u0441\u043a\u0430 \u041f\u041e, \u043c\u043e\u0436\u043d\u043e \u043f\u043e\u043b\u0443\u0447\u0438\u0442\u044c \u043f\u043e\u0434\u043e\u0431\u043d\u0443\u044e \u043a\u0430\u0440\u0442\u0438\u043d\u0443 \u043f\u043e \u0432\u0435\u0442\u043a\u0430\u043c \u0440\u0435\u0435\u0441\u0442\u0440\u0430, \u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u043c\u043e\u0433\u0443\u0442 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u044c\u0441\u044f \u0434\u043b\u044f \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u044b\u0445 \u0446\u0435\u043b\u0435\u0439 (\u0432 \u0441\u043a\u043e\u0431\u043a\u0430\u0445, \u043f\u0440\u0438 \u0432\u043e\u0437\u043c\u043e\u0436\u043d\u043e\u0441\u0442\u0438, \u0443\u043a\u0430\u0437\u0430\u043d\u043e \u043a \u043a\u0430\u043a\u043e\u0439 \u0442\u0435\u0445\u043d\u0438\u043a\u0435 MITRE\u00a0ATT&amp;CK \u043e\u0442\u043d\u043e\u0441\u0438\u0442\u0441\u044f \u0434\u0430\u043d\u043d\u0430\u044f \u0432\u0435\u0442\u043a\u0430 \u0440\u0435\u0435\u0441\u0442\u0440\u0430):<\/p>\n<details class=\"spoiler\">\n<summary>\u0412\u043e\u0437\u043c\u043e\u0436\u043d\u044b\u0435 \u043c\u0435\u0441\u0442\u0430 \u0437\u0430\u043a\u0440\u0435\u043f\u043b\u0435\u043d\u0438\u044f \u0432 \u0440\u0435\u0435\u0441\u0442\u0440\u0435 Windows<\/summary>\n<div class=\"spoiler__content\">\n<ul>\n<li>\n<p><code>SOFTWARE\\Classes\\CLSID\\*<\/code> (# Event Triggered Execution: Component Object Model Hijacking T1546\/015)<\/p>\n<\/li>\n<li>\n<p><code>SOFTWARE\\Classes\\*\\shell\\*\\command<\/code> (# Event Triggered Execution: Change Default File Association T1546\/001)<\/p>\n<\/li>\n<li>\n<p><code>SOFTWARE\\Microsoft\\Active Setup\\Installed Components\\<\/code> (# Boot or Logon Autostart Execution: Active Setup T1547\/014)<\/p>\n<\/li>\n<li>\n<p><code>SOFTWARE\\Microsoft\\Active Setup\\Installed Components\\*\\ShellComponent<\/code> ()<\/p>\n<\/li>\n<li>\n<p><code>SOFTWARE\\Microsoft\\Command Processor\\AutoRun<\/code> ()<\/p>\n<\/li>\n<li>\n<p><code>SOFTWARE\\Microsoft\\Ctf\\LangBarAddin\\*\\FilePath<\/code> ()<\/p>\n<\/li>\n<li>\n<p><code>SOFTWARE\\Microsoft\\Internet Explorer\\Extensions\\*\\Exec<\/code> ()<\/p>\n<\/li>\n<li>\n<p><code>SOFTWARE\\Microsoft\\Internet Explorer\\Extensions\\*\\Script<\/code> ()<\/p>\n<\/li>\n<li>\n<p><code>SOFTWARE\\Microsoft\\Netsh<\/code> (# Event Triggered Execution: Netsh Helper DLL T1546\/007)<\/p>\n<\/li>\n<li>\n<p><code>SOFTWARE\\Microsoft\\Office\\*\\Word\\Options\\GlobalDotName<\/code> (# Office Application Startup: Add-ins T1137\/006)<\/p>\n<\/li>\n<li>\n<p><code>SOFTWARE\\Microsoft\\Office\\*\\Word\\Security\\Trusted Documents<\/code> (# Office Application Startup: Add-ins T1137\/006)<\/p>\n<\/li>\n<li>\n<p><code>SOFTWARE\\Microsoft\\Office\\*\\Word\\Security\\Trusted Locations\\*\\AllowSubFolders<\/code> (# Office Application Startup: Add-ins T1137\/006)<\/p>\n<\/li>\n<li>\n<p><code>SOFTWARE\\Microsoft\\Office\\*\\Word\\Security\\Trusted Locations\\*\\Path<\/code> (# Office Application Startup: Add-ins T1137\/006)<\/p>\n<\/li>\n<li>\n<p><code>SOFTWARE\\Microsoft\\Office\\*\\Word\\Security\\VBAWarning<\/code> (# Office Application Startup: Add-ins T1137\/006)<\/p>\n<\/li>\n<li>\n<p><code>SOFTWARE\\Microsoft\\Office\\*\\Common\\General\\SharedTemplates<\/code> (# Office Application Startup: Add-ins T1137\/006)<\/p>\n<\/li>\n<li>\n<p><code>SOFTWARE\\Microsoft\\Office\\*\\Common\\General\\UserTemplates<\/code> (# Office Application Startup: Add-ins T1137\/006)<\/p>\n<\/li>\n<li>\n<p><code>SOFTWARE\\Microsoft\\Office test\\Special\\Perf<\/code> (# Office Application Startup: Office Test T1137\/002)<\/p>\n<\/li>\n<li>\n<p><code>SOFTWARE\\Microsoft\\Windows CE Services\\AutoStartOnConnect\\MicrosoftActiveSync<\/code> ()<\/p>\n<\/li>\n<li>\n<p><code>SOFTWARE\\Microsoft\\Windows CE Services\\AutoStartOnDisconnect\\MicrosoftActiveSync<\/code> ()<\/p>\n<\/li>\n<li>\n<p><code>SOFTWARE\\Microsoft\\Windows nt\\CurrentVersion\\Appcompatflags\\Custom<\/code> (# Event Triggered Execution: Application Shimming T1546\/011)<\/p>\n<\/li>\n<li>\n<p><code>SOFTWARE\\Microsoft\\Windows NT\\CurrentVersion\\Appcompatflags\\Installedsdb<\/code> (# Event Triggered Execution: Application Shimming T1546\/011)<\/p>\n<\/li>\n<li>\n<p><code>SOFTWARE\\Microsoft\\Windows NT\\CurrentVersion\\Image File Execution Options<\/code> (# Event Triggered Execution: Accessibility Features T1546\/008)<\/p>\n<\/li>\n<li>\n<p><code>SOFTWARE\\Microsoft\\Windows NT\\CurrentVersion\\Image File Execution Options\\*\\VerifierDlls<\/code> ()<\/p>\n<\/li>\n<li>\n<p><code>SOFTWARE\\Microsoft\\Windows NT\\CurrentVersion\\IniFileMapping\\system.ini\\boot<\/code> ()<\/p>\n<\/li>\n<li>\n<p><code>SOFTWARE\\Microsoft\\Windows NT\\CurrentVersion\\Schedule\\TaskCache\\Tasks<\/code> (# Scheduled Task\/Job: Scheduled Task T1053\/005)<\/p>\n<\/li>\n<li>\n<p><code>SOFTWARE\\Microsoft\\Windows NT\\CurrentVersion\\Schedule\\TaskCache\\Tree<\/code> (# Scheduled Task\/Job: Scheduled Task T1053\/005)<\/p>\n<\/li>\n<li>\n<p><code>SOFTWARE\\Microsoft\\Windows NT\\CurrentVersion\\SilentProcessExit\\<\/code> (# Event Triggered Execution: Image File Execution Options Injection T1546\/012)<\/p>\n<\/li>\n<li>\n<p><code>SOFTWARE\\Microsoft\\Windows NT\\CurrentVersion\\Terminal Server\\Install\\Software\\*<\/code> ()<\/p>\n<\/li>\n<li>\n<p><code>SOFTWARE\\Microsoft\\Windows NT\\CurrentVersion\\Windows<\/code> (# Boot or Logon Autostart Execution: Registry Run Keys \/ Startup Folder T1547\/001; # Event Triggered Execution: AppInit DLLs T1546\/010)<\/p>\n<\/li>\n<li>\n<p><code>SOFTWARE\\Microsoft\\Windows NT\\CurrentVersion\\Windows\\AppInit_DLLs<\/code> (# Boot or Logon Autostart Execution: Registry Run Keys \/ Startup Folder T1547\/001)<\/p>\n<\/li>\n<li>\n<p><code>SOFTWARE\\Microsoft\\Windows NT\\CurrentVersion\\Windows\\IconServiceLib<\/code> ()<\/p>\n<\/li>\n<li>\n<p><code>SOFTWARE\\Microsoft\\Windows NT\\CurrentVersion\\Windows\\Load<\/code> (# Boot or Logon Autostart Execution: Registry Run Keys \/ Startup Folder T1547\/001)<\/p>\n<\/li>\n<li>\n<p><code>SOFTWARE\\Microsoft\\Windows NT\\CurrentVersion\\Windows\\Run<\/code> (# Boot or Logon Autostart Execution: Registry Run Keys \/ Startup Folder T1547\/001)<\/p>\n<\/li>\n<li>\n<p><code>SOFTWARE\\Microsoft\\Windows NT\\CurrentVersion\\Winlogon\\<\/code> (# Boot or Logon Autostart Execution: Winlogon Helper DLL T1547\/004)<\/p>\n<\/li>\n<li>\n<p><code>SOFTWARE\\Microsoft\\Windows NT\\CurrentVersion\\Winlogon\\AppSetup<\/code> (# Boot or Logon Autostart Execution: Winlogon Helper DLL T1547\/004)<\/p>\n<\/li>\n<li>\n<p><code>SOFTWARE\\Microsoft\\Windows NT\\CurrentVersion\\Winlogon\\GpExtensions\\*\\DllName<\/code> (# Boot or Logon Autostart Execution: Winlogon Helper DLL T1547\/004)<\/p>\n<\/li>\n<li>\n<p><code>SOFTWARE\\Microsoft\\Windows NT\\CurrentVersion\\Winlogon\\Taskman<\/code> (# Boot or Logon Autostart Execution: Winlogon Helper DLL T1547\/004)<\/p>\n<\/li>\n<li>\n<p><code>SOFTWARE\\Microsoft\\Windows NT\\CurrentVersion\\Winlogon\\VmApplet<\/code> (# Boot or Logon Autostart Execution: Winlogon Helper DLL T1547\/004)<\/p>\n<\/li>\n<li>\n<p><code>SOFTWARE\\Microsoft\\Windows NT\\CurrentVersion\\Winlogon\\Shell<\/code> (# Boot or Logon Autostart Execution: Registry Run Keys \/ Startup Folder T1547\/001)<\/p>\n<\/li>\n<li>\n<p><code>SOFTWARE\\Microsoft\\Windows NT\\CurrentVersion\\Winlogon\\Userinit<\/code> (# Boot or Logon Autostart Execution: Registry Run Keys \/ Startup Folder T1547\/001)<\/p>\n<\/li>\n<li>\n<p><code>SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Explorer\\Shell Folders<\/code> (# Boot or Logon Autostart Execution: Registry Run Keys \/ Startup Folder T1547\/001)<\/p>\n<\/li>\n<li>\n<p><code>SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Explorer\\User Shell Folders<\/code> (# Boot or Logon Autostart Execution: Registry Run Keys \/ Startup Folder T1547\/001)<\/p>\n<\/li>\n<li>\n<p><code>SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Policies\\Explorer\\Run<\/code> (# Boot or Logon Autostart Execution: Registry Run Keys \/ Startup Folder T1547\/001)<\/p>\n<\/li>\n<li>\n<p><code>SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Policies\\SYSTEM\\Shell<\/code> (# Boot or Logon Autostart Execution: Registry Run Keys \/ Startup Folder T1547\/001)<\/p>\n<\/li>\n<li>\n<p><code>SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Run<\/code> (# Boot or Logon Autostart Execution: Registry Run Keys \/ Startup Folder<\/p>\n<\/li>\n<\/ul>\n<\/div>\n<\/details>\n<\/div>\n<\/div>\n<\/div>\n<\/div>\n","protected":false},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[],"tags":[],"class_list":["post-359247","post","type-post","status-publish","format-standard","hentry"],"_links":{"self":[{"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=\/wp\/v2\/posts\/359247","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=%2Fwp%2Fv2%2Fcomments&post=359247"}],"version-history":[{"count":0,"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=\/wp\/v2\/posts\/359247\/revisions"}],"wp:attachment":[{"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=%2Fwp%2Fv2%2Fmedia&parent=359247"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=%2Fwp%2Fv2%2Fcategories&post=359247"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=%2Fwp%2Fv2%2Ftags&post=359247"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}