Erstmal danke für die das Antworten!
Also ich glaub ich habe mich nicht genau genug ausgedrückt, deswegen hast du mich @Olli eventuell falsch verstanden.
Ich möchte keine Keys Laden, Speichern, Importieren oder Exportieren.
Ich mache es mal jetzt so konkret wie es nur sein kann weil ich echt am verzweifeln bin wie das funktioniert:
Also ich installiere mal aus spass den "Adramax Keylogger", der fügt einen Autostart eintrag in
HKLM\...\Run hinzu.
Über dem Usermode per
DLL- Injektion schaft er es indem er wie ich denke ziemlich viele Registry- WinAPIs hookt, den Autostart
Eintag für alle dei Anwendungen welche mit der
DLL infiziert sind zu verstecken.
Mich wundert nun folgendes: Autorun, msconfig oder gar registrie Editoren welche auf dei Native
API (NtQueryKey und co) aufsetzen
finden diesen Eintrag nicht! Wie schaft es das dieses kleinen prog "reg.exe" (ist meistens in System Verzeichnis)
über den Komandozeilenbefehl "Reg
Query HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run " trotzdem diesen versteckten Schlüssel Wert zu finden. Was natürlich sein könnte ist das es der Keylogger einfach nicht schaft seine
DLL in den Adressraum von Reg.exe zu injezieren da es nur ein Komandozeilenbasierendes prog ist (ohne
gui). Oder verwender reg.exe einpaar Tricks?
Edit: Ich hab gerad mir ProcMon nachgeschaut und es werden wirklich nicht die
Dll in reg.exe injeziert.
Hmm und das ist jetzt wohl der vorteil von Reg.exe das es keine
GUI...also Fenster hat?