Пару месяцев назад накидал два простых питоновских скрипта — один для "закрепления" в системе, второй для полной зачистки следов. Не используйте во вред! Только для пентеста и исследований (ну или против госструктур, шутка).

Скрипт 1: Персистентность

Как работает:

1. Проверяет killswitch — если в %APPDATA% лежит файл flowermug2025.txt, скрипт самоуничтожается.

2. Копирует себя в 4 скрытые папки (AppData\Microsoft\Media, Intel\Audio и т.д.) под рандомными именами в стиле системных служб (IntelAudioService.exe, WindowsSecurityCenter.exe).

3. Прописывает автозагрузку в реестр (HKCU\...\Run) для каждой копии.

4. Запускает процессы и мониторит их — если что-то удалили, скрипт восстанавливает копии и перезапускает их.

5. Работает в фоне вечно, пока не появится killswitch-файл.

Фишки:

• Маскировка под системные процессы (случайные имена из списка).

• Самовосстановление при удалении.

• Проверка размера EXE, чтобы не запускать "битые" копии.

Скрипт 2: Зачистка

Что делает:

1. Убивает все процессы с именами из списка (те же IntelAudioService.exe и т.д.).

2. Удаляет EXE-файлы из тех же 4 папок в AppData.

3. Чистит автозагрузку в реестре, удаляя все записи, связанные с этими именами.

4. Самоуничтожается — через скрытый CMD-пинг, чтобы не оставить следов.

Для чего: Полный "выход" из системы без следов.

Код:
(см. оригинал, но если кратко — там shutil, winreg, psutil и многопоточность).

Важно:

• Это PoC (proof-of-concept), не для реальных атак.

• Если используете — только на своих тестовых стендах.

• VT не заливать, иначе детектят!

P.S. Если допилить — можно сделать полноценный FUD-стейлер, но я не рекомендую (будьте хорошими людьми ✌️).

(Скрипты прилагаются, но публично не выкладываю — пишите в ЛС для обсуждения.)

Стиль:

[ТЕГ]: EDUCATIONAL / MALWARE DEV  
[АВТОР]: ВашКент  
[ВЕРСИЯ]: 0.1 (beta)  
[СОВМЕСТИМОСТЬ]: Windows 10/11  

Дисклеймер:

Автор не несет ответственности за использование кода. Это демонстрация уязвимостей безопасности.