gp "HKLM:\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\*"|where Debugger|select PSChildName,Debugger - jeśli wynik nie jest pusty - masz Problem

gp "HKLM:\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\*"|where Debugger|select PSChildName,Debugger

Wstęp

Jeśli dla pewnej aplikacji (np. mspaint.exe) zostanie stworzony podklucz w HKLM:\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options o nazwie tej aplikacji (bez pełnej ścieżki), a w nim wpis Debugger, to przy uruchamianiu tej aplikacji zostanie uruchomiony program, na który wskazuje Debugger.

A może to wyglądać tak

Warto na te wpisy zapolować raz na jakiś czas podczas misji ThreatHuntingowych, a wręcz je monitorować.

Linki

• web · Image File Execution Options — dokumentacja prosto od Microsoft
• web · Debugowanie aplikacji CGI w IIS — przykład legitnego wykorzystania
• web · Image File Execution Options Injection — wzmianka na Mitre ATT&CK jako jedna z technik