T1021.003: 分布式组件对象模型

摘要

攻击者可能利用[有效账户](https://attack.mitre.org/techniques/T1078)，通过利用分布式组件对象模型（DCOM）与远程机器交互。随后攻击者可以以已登录用户的身份执行操作。 Windows 组件对象模型（COM）是原生 Windows 应用程序编程接口（API）的一个组件，用于实现软件对象之间或实现一个或多个接口的可执行代码之间的交互。通过 COM，客户端对象可以调用服务器对象的方法，这些服务器对象通常是动态链接库（DLL）或可执行文件（EXE）。分布式 COM（DCOM）是一种透明中间件，它使用远程过程调用（RPC）技术将 COM 的功能扩展到本地计算机之外。(Citation: Fireeye Hunting COM June 2019)(Citation: Microsoft COM) 与本地和远程服务器 COM 对象交互的权限由注册表中的访问控制列表（ACL）指定。(Citation: Microsoft Process Wide Com Keys) 默认情况下，只有 Administrators 可以通过 DCOM 远程激活和启动 COM 对象。(Citation: Microsoft COM ACL) 通过 DCOM，以适当特权用户身份运行的攻击者可以通过 Office 应用程序 (Citation: Enigma Outlook DCOM Lateral Movement Nov 2017) 以及其他包含不安全方法的 Windows 对象，(Citation: Enigma MMC20 COM Jan 2017)(Citation: Enigma DCOM Lateral Movement Jan 2017) 远程获得任意的甚至直接的 shellcode 执行。DCOM 还可以在现有文档中执行宏 (Citation: Enigma Excel DCOM Sept 2017)，还可以直接通过 Microsoft Office 应用程序的 COM 创建实例调用[动态数据交换](https://attack.mitre.org/techniques/T1559/002)（DDE）执行 (Citation: Cyberreason DCOM DDE Lateral Movement Nov 2017)，而无须使用恶意文档。DCOM 可用作与 [Windows Management Instrumentation](https://attack.mitre.org/techniques/T1047) 远程交互的一种方法。 (Citation: MSDN WMI)