Atomic Red T1547.001

Invoke-AtomicTest T1547.001

Executa o teste atômico de Run keys do registro (T1547.001) com Atomic Red Team, validando a detecção da persistência por registro.

Execute-o no laboratório de purple team quando quiser validar a detecção da persistência por Run keys: o atômico T1547.001 adiciona a chave de registro (HKCU\...\Run com o payload) e a equipe verifica o que foi detectado — Sysmon Event 13 (registry set), as regras do SIEM, o EDR. É a validação da detecção de persistência por registro: a técnica real executada. No purple teaming, o atômico valida as regras das Run keys e o resultado alimenta a matriz.

Não o execute em produção: o atômico modifica o registro do host de testes (persistência real) — o laboratório é o local e a chave é limpa ao final (o cleanup do atômico). O ruído é planejado. E atenção: o atômico valida a variante da Run key (HKCU/HKLM) — as outras chaves de persistência (RunOnce, Startup) têm outros atômicos; a cobertura é validada por variante. A detecção da alteração do registro (Sysmon Event 13 sobre a chave Run) é a regra que é validada; sem ela, a persistência por registro do atacante passa despercebida.