Реестр Windows

# Открыть редактор реестра
regedit.exe

# Консольное управление
reg query HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion
reg add "HKCU\Software\MyApp" /v Setting /t REG_SZ /d "value"
reg delete "HKCU\Software\MyApp" /v Setting /f

# Экспорт/импорт (.reg файлы)
reg export HKLM\SOFTWARE\MyApp C:\backup\app.reg
reg import C:\backup\app.reg

# Сохранение hive-файла (форензика)
reg save HKLM\SAM C:\temp\sam.hive
reg save HKLM\SYSTEM C:\temp\system.hive

# PowerShell
Get-ItemProperty "HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\Run"
Set-ItemProperty "HKCU:\Software\MyApp" -Name "Setting" -Value "value"

# Добавление в автозагрузку через Run key
reg add "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /v Malware /t REG_SZ /d "C:\malware.exe"

# Добавление через RunOnce (выполнится один раз)
reg add "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce" /v Update /t REG_SZ /d "C:\update.exe"

# Использование ключей Winlogon
reg add "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon" /v Userinit /t REG_SZ /d "C:\Windows\system32\userinit.exe,C:\malware.exe"

# Отключение UAC через реестр
reg add "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System" /v EnableLUA /t REG_DWORD /d 0 /f

# Отключение Защитника Windows
reg add "HKLM\SOFTWARE\Policies\Microsoft\Windows Defender" /v DisableAntiSpyware /t REG_DWORD /d 1 /f

# Отключение брандмауэра
reg add "HKLM\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile" /v EnableFirewall /t REG_DWORD /d 0 /f

# Отключение SmartScreen
reg add "HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\AppHost" /v EnableWebContentEvaluation /t REG_DWORD /d 0 /f

# Копирование SAM (требует SYSTEM)
reg save HKLM\SAM C:\temp\sam.hive
reg save HKLM\SYSTEM C:\temp\system.hive

# Использование Mimikatz для извлечения паролей
mimikatz # lsadump::sam
mimikatz # lsadump::secrets

# Изменение путей поиска DLL
reg add "HKLM\SYSTEM\CurrentControlSet\Control\Session Manager" /v SafeDllSearchMode /t REG_DWORD /d 0 /f

# Включение аудита через групповую политику
gpedit.msc
# Конфигурация компьютера → Конфигурация Windows → Параметры безопасности → Локальные политики → Политика аудита
# Включить: "Аудит доступа к глобальным объектам системы"

# Аудит через командную строку
auditpol /set /subcategory:"Registry" /success:enable /failure:enable

# Просмотр изменений в автозагрузке
Get-ItemProperty "HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\Run"

# Мониторинг изменений реестра через WMI
Register-WmiEvent -Query "SELECT * FROM RegistryTreeChangeEvent WHERE RootKey='HKEY_LOCAL_MACHINE' AND KeyPath='SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Run'" -Action { Write-Host "Registry changed!" }

# Экспорт ключа для анализа
Export-RegistryKey -Path "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" -File "C:\temp\run_keys.reg"