정의석 2019-06

shell:startup은 개인 계정에 국한된 시작 프로그램이고,,
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\StartUp이 전체 사용자의 시작프로그램으로 알고 있습니다.
그런데, Win7같은 경우에는 단축아이콘을 넣어도 잘 됐는데, 윈 10에서는 단축아이콘은 잘 안되는거 같더라고요...

이천풍 2019-06

AutoRuns 유틸리티에 나온 정보입니다.
아래와 같은 경로 및 레지스트리를 이용하여 프로그램을 실행시킬 수 있다고 합니다.

C:\Users\사용자\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
HKLM\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Run
HKLM\SOFTWARE\Microsoft\Active Setup\Installed Components
HKLM\SOFTWARE\Wow6432Node\Microsoft\Active Setup\Installed Components
HKCU\Software\Microsoft\Windows\CurrentVersion\Run

아래 레지스트리는 주로 .dll 등을 실행합니다. dll 으로만 이루어진 악성코드를 저기에 숨길 수 있습니다.
HKCU\Software\Classes\*\ShellEx\ContextMenuHandlers
HKLM\Software\Classes\*\ShellEx\ContextMenuHandlers
...
HKCU\Software\Classes\Directory\Shellex\DragDropHandlers
HKLM\Software\Classes\Directory\Shellex\DragDropHandlers
...

윈도 익스플로러 때문에 저 레지스트리를 통해서도 실행시킬 수 있습니다.
HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects

서비스에도 실행파일을 등록할 수 있습니다.
HKLM\System\CurrentControlSet\Services

드라이버 로딩 과정에서도 프로그램을 실행할 수 있죠.
HKLM\Software\Wow6432Node\Microsoft\Windows NT\CurrentVersion\Drivers32
HKLM\Software\Microsoft\Windows NT\CurrentVersion\Drivers32