gp "HKLM:\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\*"|where Debugger|select PSChildName,Debugger - jeśli wynik nie jest pusty - masz Problem
tty1 · powershell
PS> gp "HKLM:\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\*"|where Debugger|select PSChildName,Debugger
#Powershell#ThreatHunting#BlueTeam
Jeśli dla pewnej aplikacji (np. mspaint.exe) zostanie stworzony podklucz w HKLM:\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options o nazwie tej aplikacji (bez pełnej ścieżki), a w nim wpis Debugger, to przy uruchamianiu tej aplikacji zostanie uruchomiony program, na który wskazuje Debugger.
