绕过Autoruns的一种方式

一般情况下，木马会释放文件到启动项目录，但同时也很容易被Autoruns这类工具检测出来

开始菜单启动项路径：
C:\Users\<username>\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup

其实这个路径是保存在一个注册表项中的，如果我们将其注册表中的值替换成其他路径，也就是指定了其他路径，作为开机启动目录

查询注册表中指定的启动项路径：
reg query "hkcu\software\microsoft\windows\currentversion\explorer\user shell folders" /v startup

将启动项路径强制修改成c:\test目录
reg add "hkcu\software\microsoft\windows\currentversion\explorer\user shell folders" /v startup /t REG_SZ /d "c:\test" /f

此时如果我将一个文件demo.exe，放到c:\test\目录中，然后注销、再登录，demo.exe将会自动启动。

并且在Autoruns中搜索不到相关文件，如下图所示：

因此，我们在分析病毒时，要注意对这个注册表项的修改操作
**hkcu\software\microsoft\windows\currentversion\explorer\user shell folders**