T1027.012: LNK 图标走私

摘要

攻击者可能通过将下载恶意载荷的命令隐藏在原本看似无害的 Windows 快捷方式文件中，走私这些命令以越过内容过滤器。Windows 快捷方式文件（.LNK）包含许多元数据字段，其中包括一个图标位置字段（也称为 `IconEnvironmentDataBlock`），用于指定要在主机目录中为 LNK 文件显示的图标文件的路径。 攻击者可能滥用此 LNK 元数据来下载恶意载荷。例如，已观察到攻击者使用 LNK 文件作为钓鱼载荷来投递恶意软件。一旦被调用（例如[恶意文件](https://attack.mitre.org/techniques/T1204/002)），通过 LNK 图标位置字段中外部 URL 引用的载荷可能会被下载。随后这些文件还可能由 LNK 目标路径字段中的[命令与脚本解释器](https://attack.mitre.org/techniques/T1059)/[系统二进制代理执行](https://attack.mitre.org/techniques/T1218)参数调用。(Citation: Unprotect Shortcut)(Citation: Booby Trap Shortcut 2017) LNK 图标走私也可在入侵后使用，例如恶意脚本在被感染主机上执行 LNK 以下载其他恶意载荷。