T1036.003: 重命名合法实用程序

摘要

攻击者可能重命名合法/系统实用程序，以试图规避有关这些实用程序使用的安全机制。对于攻击者能够滥用的合法实用程序（包括内置二进制文件以及 PSExec、AutoHotKey 和 IronPython 等工具），可能已部署安全监控和控制机制。(Citation: LOLBAS Main Site)(Citation: Huntress Python Malware 2025)(Citation: The DFIR Report AutoHotKey 2023)(Citation: Splunk Detect Renamed PSExec) 可能可以通过在使用前重命名实用程序来绕过这些安全机制（例如重命名 <code>rundll32.exe</code>）。(Citation: Elastic Masquerade Ball) 另一种情况是，合法实用程序被复制或移动到不同目录并重命名，以规避基于这些实用程序从非标准路径执行的检测。(Citation: F-Secure CozyDuke)