Encontre a data de criação do serviço no Windows?

Question

Se em um sistema comprometido você está tentando analisar serviços recém-instalados ou quando os serviços foram instalados, como você faz isso? Onde posso encontrar a data de criação de um determinado serviço no registro do Windows?

    

Answer 1

Não há como determinar a data de criação de um determinado serviço do Windows, pois o applet de serviços e o registro do Windows não armazenam nenhuma data relacionada a criações.

Há, no entanto, uma data da última modificação que está oculta da exibição (incluindo no editor de registro do Windows), mas pode ser acessada usando RegQueryInfoKey . Como todos os serviços do Windows armazenados no Registro, você pode verificar a data da última modificação em relação às chaves de registro relacionadas ao serviço em questão, pesquisando em HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services

Como alternativa, se você exportar as chaves do Registro nas quais deseja obter informações como um arquivo de texto, a data da última modificação de cada chave será gravada no arquivo de texto.

Porfim,umasolução usando o PowerShell para retornar a data da última modificação já foi discutida no Stack Overflow .

    

Answer 2

A partir do Vista, a criação do serviço é registrada no log de eventos "Sistema" na ID de evento 7045 do Service Control Manager.

Por exemplo, o seguinte comando:

C:\>sc create hello binpath= notepad.exe
[SC] CreateService SUCCESS

Produziu a seguinte entrada no registro de eventos:

Log Name:      System
Source:        Service Control Manager
Date:          12/16/2014 3:00:00 PM
Event ID:      7045
Task Category: None
Level:         Information
Keywords:      Classic
User:          DOMAIN\username
Computer:      WORKSTATION.DOMAIN.local
Description:
A service was installed in the system.

Service Name:  hello
Service File Name:  notepad.exe
Service Type:  user mode service
Service Start Type:  demand start
Service Account:  LocalSystem