hunting-for-startup-folder-persistence

name	hunting-for-startup-folder-persistence
description	通过监控 Windows 启动目录中的可疑文件创建、分析 autoruns 条目以及使用 Python watchdog 进行实时文件系统监控，检测 T1547.001 启动文件夹持久化。
domain	cybersecurity
subdomain	threat-hunting
tags	["threat-hunting","T1547.001","startup-folder","persistence","autoruns","watchdog","filesystem-monitoring"]
version	1.0
author	mahipal
license	Apache-2.0

狩猎启动文件夹持久化

概述

攻击者使用 Windows 启动文件夹实现持久化（MITRE ATT&CK T1547.001——启动或登录自动启动执行：注册表 Run 键/启动文件夹）。放置在 %APPDATA%\Microsoft\Windows\Start Menu\Programs\Startup 或 C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup 中的文件会在用户登录时自动执行。本技能扫描启动目录中的可疑文件，使用 Python watchdog 实时监控变化，并分析文件元数据以检测持久化植入物。

前置条件

• Python 3.9+ 及 watchdog、pefile（可选，用于 PE 分析）
• 访问 Windows 启动文件夹（用户和所有用户）的权限
• 用于事件 ID 4663 关联的 Windows 事件日志（可选）

步骤

1. 枚举用户和系统启动目录中的所有文件
2. 分析文件类型、创建时间戳和数字签名
3. 标记可疑文件扩展名（.bat、.vbs、.ps1、.lnk、.exe）
4. 检查近期创建的文件（< 7 天）作为潜在植入物
5. 使用 watchdog FileSystemEventHandler 实时监控启动文件夹
6. 与已知合法启动条目关联
7. 生成包含 T1547.001 MITRE 映射的威胁狩猎报告

预期输出

• JSON 报告，列出所有启动文件夹内容，包含风险评分、文件元数据和可疑指标
• 对启动目录中新文件创建的实时监控告警