Kako se vrednosti HKCU mogu menjati od strane korisnika, COM Hijacking se može koristiti kao perzistentni mehanizam. Koristeći procmon, lako je pronaći pretraživane COM registre koji ne postoje, a koje napadač može kreirati da bi postigao perzistenciju. Filteri:
RegOpenKey operacije.
gde je RezultatIME NIJE PRONAĐENO.
i Putanja se završava sa InprocServer32.
Kada odlučite koju nepostojeću COM komponentu da imitirate, izvršite sledeće komande. Budite oprezni ako odlučite da imitirate COM koji se učitava svake nekoliko sekundi, jer to može biti prekomerno.
Windows Tasks koriste prilagođene okidače za pozivanje COM objekata i pošto se izvršavaju putem Task Scheduler-a, lakše je predvideti kada će biti aktivirani.
Proverom izlaza možete odabrati jedan koji će biti izvršen svaki put kada se korisnik prijavi na primer.
Sada pretražujući CLSID {1936ED8A-BD93-3213-E325-F38D112938EF} u HKEY_CLASSES_ROOT\CLSID i u HKLM i HKCU, obično ćete otkriti da vrednost ne postoji u HKCU.
# Exists in HKCR\CLSID\Get-ChildItem-Path"Registry::HKCR\CLSID\{1936ED8A-BD93-3213-E325-F38D112938EF}"NameProperty------------InprocServer32 (default) : C:\Windows\system32\some.dllThreadingModel:Both# Exists in HKLMGet-Item-Path"HKLM:Software\Classes\CLSID\{01575CFE-9A55-4003-A5E1-F38D1EBDCBE1}"|ft-AutoSizeNameProperty------------{01575CFE-9A55-4003-A5E1-F38D1EBDCBE1} (default) : MsCtfMonitor task handler# Doesn't exist in HKCUPSC:\> Get-Item-Path"HKCU:Software\Classes\CLSID\{01575CFE-9A55-4003-A5E1-F38D1EBDCBE1}"Get-Item : Cannot find path 'HKCU:\Software\Classes\CLSID\{01575CFE-9A55-4003-A5E1-F38D1EBDCBE1}' because it does not exist.
Zatim, možete jednostavno kreirati HKCU unos i svaki put kada se korisnik prijavi, vaša backdoor će se aktivirati.