MDM 관련 전원 해킹 차단

[동우]

https://www.howtogeek.com/405868/how-to-enable-remaining-battery-time-in-windows-10/    

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Power  

Microsoft-Windows-DeviceManagement-Enterprise-Diagnostics-Provider/Admin

DeviceManagement-Enterprise-Diagnostics-Provider

813

REM "베터리 수명 숨기기 ㅎㅎ 반대로 하면 나오게 한다는 소리임"

REG ADD "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Power" /v "EnergyEstimationDisabled" /t REG_DWORD /d 1 /f

REG ADD "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Power" /v "EnergyEstimationEnabled" /t REG_DWORD /d 0 /f

REM "절전 모드 와트 정하기 96으로 되어 있었음 Policy는 1로 하면 정책을 활성화 하는 거라고. 완전히 키를 삭제 해도 된다고 한다"
REG ADD "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Power\EnergyEstimation\StandbyActivationEnergy" /v "DripsPowerFloorMilliWatts" /t REG_DWORD /d 0 /f
REG ADD "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Power\EnergyEstimation\StandbyActivationEnergy" /v "Policy" /t REG_DWORD /d 0 /f

---

REM "https://cafe.daum.net/candan/BLQD/97 지저분한 자격증명 인증 관련 보안 해보기"

REM "MDM 놈이 전원 관리를 하려고 한다 해킹 차단 관련 왜 남컴을 관리 하려고 하는 건지 ㅋㅋ"

setx /m __PSLockDownPolicy 0

setx /m __PSLockDownPolicy 4


$acl = Get-Acl "Registry::HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Power"

$rule1 = New-Object System.Security.AccessControl.RegistryAccessRule(
"ANONYMOUS LOGON", "FullControl", "ContainerInherit,ObjectInherit", "None", "Deny")

$rule2 = New-Object System.Security.AccessControl.RegistryAccessRule(
"GUEST", "FullControl", "ContainerInherit,ObjectInherit", "None", "Deny")

$rule3 = New-Object System.Security.AccessControl.RegistryAccessRule(
"IIS_IUSRS", "FullControl", "ContainerInherit,ObjectInherit", "None", "Deny")

$rule4 = New-Object System.Security.AccessControl.RegistryAccessRule(
"REMOTE INTERACTIVE LOGON", "FullControl", "ContainerInherit,ObjectInherit", "None", "Deny")

$rule5 = New-Object System.Security.AccessControl.RegistryAccessRule(
"Remote Management Users", "FullControl", "ContainerInherit,ObjectInherit", "None", "Deny")

$rule6 = New-Object System.Security.AccessControl.RegistryAccessRule(
"GUESTS", "FullControl", "ContainerInherit,ObjectInherit", "None", "Deny")

$rule7 = New-Object System.Security.AccessControl.RegistryAccessRule(
"TERMINAL SERVER USER", "FullControl", "ContainerInherit,ObjectInherit", "None", "Deny")

$acl.SetAccessRule($rule1)
$acl.SetAccessRule($rule2)
$acl.SetAccessRule($rule3)
$acl.SetAccessRule($rule4)
$acl.SetAccessRule($rule5)
$acl.SetAccessRule($rule6)
$acl.SetAccessRule($rule7)

$acl | Set-Acl -Path "Registry::HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Power"



reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Power" /v NetworkIncludesAuthenticatedUsers /t REG_DWORD /d 0 /f
reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Power" /v EveryoneIncludesAnonymous /t REG_DWORD /d 0 /f
reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Power" /v GuestAccess /t REG_DWORD /d 0 /f
reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Power" /v GuestsAccess /t REG_DWORD /d 0 /f
reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Power" /v IIS_IUSRSAccess /t REG_DWORD /d 0 /f
reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Power" /v RemoteInteractiveLogonAccess /t REG_DWORD /d 0 /f
reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Power" /v RemoteManagementUsersAccess /t REG_DWORD /d 0 /f

---

REM "MDM 프로필 비우기 꺼져 ㅋ AI 알려 주긴 했는대.. AI가 좀 미쳐서 걱정 이다 ㅋㅋ 가끔 싸이코 됨"

reg delete "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\PolicyManager\current\device\knobs" /va /f

reg add "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\PolicyManager\current\device\knobs" /v NetworkIncludesAuthenticatedUsers /t REG_DWORD /d 0 /f
reg add "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\PolicyManager\current\device\knobs" /v EveryoneIncludesAnonymous /t REG_DWORD /d 0 /f
reg add "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\PolicyManager\current\device\knobs" /v GuestAccess /t REG_DWORD /d 0 /f
reg add "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\PolicyManager\current\device\knobs" /v GuestsAccess /t REG_DWORD /d 0 /f
reg add "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\PolicyManager\current\device\knobs" /v IIS_IUSRSAccess /t REG_DWORD /d 0 /f
reg add "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\PolicyManager\current\device\knobs" /v RemoteInteractiveLogonAccess /t REG_DWORD /d 0 /f
reg add "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\PolicyManager\current\device\knobs" /v RemoteManagementUsersAccess /t REG_DWORD /d 0 /f

---

dcsvc

Declared Configuration(DC) service

드디어 범인을 잡는 건가 ㅎㅎ

DoSvc

Delivery Optimization

콘텐츠 전송 최적화 작업을 수행합니다.

REM "기본값 1, 3"

REG ADD "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\dcsvc" /v "DelayedAutoStart" /t REG_DWORD /d 0 /f
REG ADD "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\dcsvc" /v "Start" /t REG_DWORD /d 4 /f

REG ADD "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\DoSvc" /v "DelayedAutoStart" /t REG_DWORD /d 0 /f
REG ADD "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\DoSvc" /v "Start" /t REG_DWORD /d 4 /f

아래는 이벤트뷰어에 있다 하단에 

Declared Configuration(DC) service는 Microsoft Azure의 서비스 중 하나입니다. 이 서비스는 Azure Resource Manager(ARM)와 함께 작동하여, 클라우드 리소스의 선언적 구성 정보를 저장하고 검색하는 데 사용됩니다. 이를 통해 리소스 구성 정보를 추적하고, 변경 이력을 추적하며, 리소스 간의 종속성을 관리할 수 있습니다. 또한 DC 서비스는 ARM 템플릿과 같은 선언적 구성 도구와 연계하여 클라우드 리소스를 배포하고 구성하는 데 사용됩니다.

잘가라 ㅋㅋ 

[동우]

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Power\EnergyEstimation\WorkOnBehalf
DisableWorkOnBehalfAttribution 프로세스 전략 사용 하는거 추적 하기 1로 하면 비활성

[동우]

전원을 꺼버리고 해킹 하는 느낌이다