Atomic Red T1547.001

Invoke-AtomicTest T1547.001

Ejecuta el test atómico de Run keys del registro (T1547.001) con Atomic Red Team, validando la detección de la persistencia por registro.

Ejecútalo en el laboratorio de purple team cuando quieras validar la detección de la persistencia por Run keys: el atómico T1547.001 añade la clave de registro (HKCU\...\Run con el payload) y el equipo verifica qué detectó — Sysmon Event 13 (registry set), las reglas del SIEM, el EDR. Es la validación de la detección de persistencia por registro: la técnica real ejecutada. En el purple teaming, el atómico valida las reglas de las Run keys y el resultado alimenta la matriz.

No lo ejecutes en producción: el atómico modifica el registro del host de pruebas (persistencia real) — el laboratorio es el sitio y la clave se limpia al terminar (el cleanup del atómico). El ruido se planifica. Y ojo: el atómico valida la variante de la Run key (HKCU/HKLM) — las otras claves de persistencia (RunOnce, Startup) tienen otros atómicos; la cobertura se valida por variante. La detección del cambio de registro (Sysmon Event 13 sobre la clave Run) es la regla que se valida; sin ella, la persistencia por registro del atacante pasa desapercibida.