T1037.001: 登录脚本（Windows）

摘要

攻击者可能使用在登录初始化时自动执行的 Windows 登录脚本来建立持久化。Windows 允许在特定用户或用户组登录系统时运行登录脚本。(Citation: TechNet Logon Scripts) 这是通过向 <code>HKCU\Environment\UserInitMprLogonScript</code> 注册表项添加脚本路径来实现的。(Citation: Hexacorn Logon Scripts) 攻击者可能使用这些脚本在单个系统上维持持久化。根据登录脚本的访问配置，可能需要本地凭据或管理员账户。