Analyzes Sysmon Event ID 13 logs and registry queries to detect MITRE ATT&CK T1547.001 Run key persistence, identifying malicious Windows auto-start entries. Useful for threat hunting in Sysmon-enabled environments.
npx claudepluginhub killvxk/cybersecurity-skills-zhThis skill uses the workspace's default tool permissions.
注册表 Run 键（T1547.001）是攻击者最常用的持久化机制之一。当程序被添加到 Windows 注册表的 Run 键时，它会在用户登录时自动执行。攻击者滥用 `HKLM\Software\Microsoft\Windows\CurrentVersion\Run`、`HKCU\Software\Microsoft\Windows\CurrentVersion\Run` 及其 RunOnce 对应键来维持持久化。Sysmon 事件 ID 13（RegistryEvent - Value Set）捕获注册表值修改，包括目标对象路径、进行修改的进程以及新值。检测方法包括：监控这些事件中指向临时目录的可疑可执行文件、编码的 PowerShell 命令、LOLBin 路径，以及通常不会创建 Run 键条目的进程。将事件 13 与事件 1（进程创建）和事件 11（文件创建）串联分析，可通过...
Detects MITRE ATT&CK T1547.001 registry Run key persistence by analyzing Sysmon Event ID 13 logs to identify suspicious auto-start entries like temp paths and LOLBins.
Detects MITRE ATT&CK T1547.001 registry Run key persistence by analyzing Sysmon Event ID 13 logs and chaining with process/file events to flag malicious auto-start entries.
Hunts Windows registry persistence mechanisms like Run keys, Winlogon mods, IFEO injection, and COM hijacking using EDR/SIEM queries. Useful for threat hunting, incident response, and purple team exercises.
Share bugs, ideas, or general feedback.
注册表 Run 键（T1547.001）是攻击者最常用的持久化机制之一。当程序被添加到 Windows 注册表的 Run 键时，它会在用户登录时自动执行。攻击者滥用 HKLM\Software\Microsoft\Windows\CurrentVersion\Run、HKCU\Software\Microsoft\Windows\CurrentVersion\Run 及其 RunOnce 对应键来维持持久化。Sysmon 事件 ID 13（RegistryEvent - Value Set）捕获注册表值修改，包括目标对象路径、进行修改的进程以及新值。检测方法包括：监控这些事件中指向临时目录的可疑可执行文件、编码的 PowerShell 命令、LOLBin 路径，以及通常不会创建 Run 键条目的进程。将事件 13 与事件 1（进程创建）和事件 11（文件创建）串联分析，可通过确认载荷的创建和执行来强化检测。
json、xml.etree.ElementTree、re 模块JSON 报告，列出可疑的 Run 键条目，包含注册表路径、写入值、修改进程、时间戳、MITRE 技术映射、严重性评级和建议的 Sigma 检测规则。