analyzing-malware-persistence-with-autoruns

用途：使用 Sysinternals Autoruns（GUI）与 Autorunsc（CLI）系统化识别与分析 Windows 恶意软件持久化机制，覆盖注册表、计划任务、服务、驱动等自启动点。\n\n主要能力：Autoruns 从 Windows 上数百个自动启动扩展点（ASEP）提取数据，扫描 18+ 类别，包括 Run/RunOnce 键、服务、计划任务、驱动、Winlogon 项、LSA 提供程序、打印监视器、WMI 订阅与 AppInit DLL。数字签名验证可过滤 Microsoft 签名的条目；比较功能通过基线与差异比对发现新增持久化项；集成 VirusTotal 检查哈希信誉；配合 -z 参数可对取证磁盘镜像进行离线分析。\n\n必要用法：需具备 Sysinternals Autoruns（GUI）与 Autorunsc（CLI）；目标系统管理员权限；Python 3.9+ 用于自动化分析；VirusTotal API 密钥用于信誉检查；以及用于比对的干净基线导出。自动化扫描命令示例：autorunsc64.exe -a * -c -h -s -nobanner *；脚本将输出保存为 CSV 并解析，对未签名二进制、缺少元数据、可疑路径（如 \temp\、\appdata\local\temp、\users\public\）以及 LOLBin 启动字符串（powershell、cmd /c、wscript、mshta、regsvr32）进行标记。\n\n适用场景：恶意软件持久化机制排查、应急响应与取证中的自启动项审计、基线比对发现新增持久化、离线磁盘镜像分析。\n\n验证标准：所有 ASEP 类别均已扫描并编目；未签名条目被标记调查；可疑路径与 LOLBin 启动字符串被高亮；基线比较能识别新的持久化机制。\n\n限制：资料未提供具体收费、价格、平台兼容范围或效果承诺；相关前提与步骤需在具备权限的受控环境中使用。