Scheduled Task persistence

schtasks /create /tn "Update" /tr "C:\payload.exe" /sc onlogon /rl highest

Cria uma tarefa agendada que executa o payload em cada logon com os máximos privilégios.

Execute quando precisar de persistência que rode com privilégios altos (SYSTEM com /ru SYSTEM) e sobreviva a reinicializações. É a persistência favorita do ransomware: é criada em um segundo e gerenciada com schtasks sem tocar no registro.

Se o SOC correlacionar a criação de tarefas com 4698/4702 (regra padrão), a tarefa salta na hora. Evite em hosts com Application Whitelisting onde schtasks.exe esteja bloqueado por política.