ATT&CK: T1547 Boot or Logon Autostart Execution · Persistence (TA0003)

Autoruns는 Mark Russinovich의 Sysinternals 유틸. Windows가 로그온/부팅 시 자동 실행하는 모든 위치를 한 창에서 보여준다. 레드팀은 “현재 어떤 지속성이 걸려있나” 확인용, 블루팀은 “비정상 자동 실행 사냥"용.

1. 커버 범위

  • HKCU/HKLM\...\Run, RunOnce, RunServices
  • Winlogon, Image Hijacks, AppInit DLLs
  • Scheduled Tasks (schtasks와 동일 소스)
  • Services + Drivers
  • Explorer shell hooks
  • Office / IE 추가 기능
  • WMI Event Subscriptions (T1546.003 — 매우 조용한 지속성)
  • Logon providers, LSA providers
  • Codecs, Printers, Boot Execute

Windows의 “자동 실행 될 수 있는 거의 모든 자리”.

2. GUI 사용 패턴

Autoruns.exe

중요한 토글:

  • Options → Hide Microsoft Entries: MS 서명 항목 숨기기 → 가장 유용. 서드파티만 남아 조사 범위 급축소.
  • Options → Scan Options → Verify Code Signatures: 서명 검증. 안 된 것만 보기.
  • Options → Scan Options → Check VirusTotal.com: 각 바이너리 해시를 VT 조회.

노란색 하이라이트는 “서명 안 됨 또는 파일 없음” — 가장 수상.

3. CLI — autorunsc.exe

CSV로 뽑아서 다른 호스트와 diff:

autorunsc.exe -a * -c -h -s -v -nobanner -accepteula > autoruns.csv
  • -a *: 모든 카테고리.
  • -c: CSV 포맷.
  • -h: SHA/MD5/SHA256 해시 포함.
  • -s: 서명 검증.
  • -v: VT 조회 (주의: 모든 해시가 VT로 전송됨 — OPSEC 민감).

4. 블루팀 사냥 패턴

4.1 Golden Image와 diff

새로 설치한 깨끗한 Windows에서 autoruns.csv 캡처 → 운영 호스트에서 캡처 → diff. 추가된 항목이 조사 대상.

# 간단 diff (PowerShell)
Compare-Object (Import-Csv golden.csv) (Import-Csv prod.csv) -Property Entry,ImagePath

4.2 서명 안 된 자동 실행만

autoruns.csv에서 Signer 비어있거나 “Not Verified” 필터링.

4.3 흔한 지속성 자리별 체크

  • HKCU\Software\Microsoft\Windows\CurrentVersion\Run — 사용자 권한만으로 쓸 수 있어 가장 흔한 자리.
  • HKLM\...\Image File Execution Options\<debugger_target> — Image Hijack. Debugger 값이 걸려있으면 즉시 조사.
  • WMI Event Subscription — Autoruns의 “WMI” 탭. 수상한 ActiveScriptEventConsumer 있으면 큰 신호.

5. 레드팀 관점

  • 이미 발 들인 호스트에서 운영 자동 실행 패턴 학습 → 자신의 지속성 등록 시 “그 조직에서 흔한 자리/이름"으로 섞어넣는 블렌딩 전략.
  • EDR이 특정 자리는 더 민감하게 보고 다른 자리는 덜 봄 — 환경별로 다름. 샘플 호스트에서 autoruns 돌려 설치된 EDR의 행동 추정 가능.

6. 관련 ATT&CK 서브기법

T1547은 15+ 서브기법으로 쪼개져 있다. Autoruns가 커버하는 자리와 대략 매핑:

자리 ATT&CK
Run 키 T1547.001
Winlogon Helper DLL T1547.004
Image File Execution Options T1546.012 (이벤트 트리거)
Services T1543.003
WMI Subscription T1546.003
AppInit DLLs T1546.010

7. 유사 도구

  • Sysinternals Autoruns: 가장 포괄적.
  • PersistenceSniper (PowerShell): 서버에 에이전트 올려서 자동 수집 → 중앙에서 분석.
  • PSHunt: 다수 호스트 자동 수집에 적합.

8. 흔적 (레드팀 입장에서 안 걸리는 자리는 없다는 사실)

Autoruns는 거의 모든 자리를 보기 때문에 정말로 숨어있는 지속성은 Autoruns가 못 보는 영역(COM hijack, 커스텀 커널 드라이버 등)에만 있다. 그러나 그런 자리는 설치 자체가 노이즈 큼. “조용하면서 안정적인” 지속성은 사실상 어렵다 — 이게 블루팀이 지속적 사냥을 하는 이유.

참고