Ты думаешь, что удалил этот кривой софт? — но Билл Гейтс уже шепчет тебе на ушко: «Не-а, не все так просто, братик».

Появилась такая штука — «Карта закрепления в системе Windows». Это как список всех тайных кладов и нычек, где говнище может прописаться и жить долго и счастливо, пока ты спишь в сапожке. Там всё: автозапуск, сервисы, таски, драйвера, аппиниты, реестр, профили PowerShell — полный набор для вечного возвращения.

Что там внутри, коротко и по делу:
— Startup / Logon — папки автозапуска пользователя и системные, ключи Run/RunOnce, разные Winlogon/Shell/TaskMan штуки. Это классика: поставил троян — он запускается при логине.
— Explorer & Shell Extensions — контекстные меню, shell extensions, ShellServiceObjects. Мелкая интеграция в проводник: один клик — и вредный код снова в памяти.
— Scheduled Tasks — Windows Task Scheduler — таска сделана — халява на старте.
— Services / Drivers — служба с автозапуском или драйвер в kernel — идеальный способ выживания и привилегий.
— AppInit / KnownDLLs / Image Hijacks — глобальные хуки в загрузке процессов: DLL-инка прилепилась — все процессы её подхватят.
— Winlogon / LSA / Credential Providers — сюда лучше не попадать, потому что это уже про сессии и учётки.
— WMI, Office Addins, Browser Extensions — места, где «легально» подключаются расширения, и где можно шифтом проскочить и жить месяцами.
— Pre-OS / Firmware — самый страшный уровень: прошивка и bootkits. Тут уже не спасёт переустановка.
— PowerShell Profile, BITS Jobs, External Remote Services — скриптовые следы и фоновые джобы, через которые можно обновлять бэкдор.
— И куча менее очевидных точек: Winsock providers, Print Monitors, Codecs, Known DLLs, Registry autoruns — всё это перечислено и аккуратно сложено в карту.

Звучит грустно? Да, но не всё так безнадёжно. Пара мыслей от меня, чтобы не плакать над машиной:
1. Мониторь аномалии автозапуска — не только Run, но и ShellEx, AppInit, Scheduled Tasks и драйвера. Сравнивай с базовой линией конфигурации (CMDB/immutable image).
2. Запили CV сёрфейс ревью — у тебя должна быть карта легитимных сервисов, тасков и расширений; любое новое значение — триггер на расследование.
3. Контроль целостности — подписанные бинарники + hash-база для системных папок. Если KnownDLLs меняются — сразу в карцер.
4. Минимизируй привилегии и поверхности — выключай ненужные провайдеры/службы; не держи лишних кодеков и расширений в системах с важными данными.
5. ETW/ProcMon/EDR — включи сбор событий и фильтруй canary-строки (да, как в нормальном fuzzing’e — только теперь для обороны).
6. Обучай SOC — пусть ребята знают, где обычно цепляются бэкдоры: не только Run, но и LSA, Winlogon, AppInit.

И да — это не «страшилка», а чеклист. Карта — не повод паниковать, а руководство к действию: где копать, если машина вдруг решила драться в локалке с соседями. В PDF есть не полный список ключевых точек и очевидные дырки, скрытые нычки, про которые обычно забывают.