Registry Run persistence

reg add HKCU\Software\Microsoft\Windows\CurrentVersion\Run /v Update /t REG_SZ /d "C:\Users\Public\payload.exe"

Adiciona uma entrada na chave Run do registro para que o Windows execute o payload em cada login do usuário.

Execute quando tiver acesso à sessão do usuário (HKCU não requer admin) e precisar recuperar o acesso após um reinício. É a persistência mais rápida que existe no Windows: serve em hosts de usuários finais, não em servidores que reiniciam pouco.

Evite quando o SIEM correlaciona a criação de chaves Run (é a regra mais comum de qualquer SOC) ou quando a política bloqueia autoruns. Em hosts com AV baseado em comportamento, um payload em C:\Users\Public é marcado rapidamente.