T1053: 计划任务/作业

摘要

攻击者可能滥用任务计划功能，以便于恶意代码的初始执行或反复执行。所有主流操作系统内部都提供了用于在指定日期和时间执行程序或脚本的实用工具。只要满足适当的身份验证（例如 Windows 环境中的 RPC 以及文件与打印机共享），也可以在远程系统上计划任务。在远程系统上计划任务通常可能需要是远程系统上管理员或其他特权组的成员。(Citation: TechNet Task Scheduler Security) 攻击者可能利用任务计划在系统启动时或按计划执行程序以实现持久化。这些机制也可被滥用来在指定账户（如拥有提升权限/特权的账户）的上下文下运行进程。与 [System Binary Proxy Execution](https://attack.mitre.org/techniques/T1218) 类似，攻击者还滥用任务计划，以可能在受信任的系统进程下掩盖一次性执行。(Citation: ProofPoint Serpent)