T1137: Office 应用程序启动
摘要
攻击者可能利用基于 Microsoft Office 的应用程序在启动之间维持持久化。Microsoft Office 是企业网络内基于 Windows 的操作系统上相当常见的应用程序套件。当基于 Office 的应用程序启动时，有多种机制可用于 Office 持久化；这可能包括使用 Office 模板宏(Template Macros)和加载项(add-ins)。 在 Outlook 中发现了各种可被滥用来获得持久化的功能，例如 Outlook 规则、表单和主页(Home Page)。(Citation: SensePost Ruler GitHub)这些持久化机制可以在 Outlook 内工作，也可以通过 Office 365 使用。(Citation: TechNet O365 Outlook Rules)
来源归属
来源：MITRE ATT&CK · 置信度：high
平台
- Windows
- Office Suite
战术
持久化
参考来源
- https://attack.mitre.org/techniques/T1137
- https://docs.microsoft.com/en-us/office365/securitycompliance/detect-and-remediate-outlook-rules-forms-attack
- https://blogs.technet.microsoft.com/office365security/defending-against-rules-and-forms-injection/
- https://malware.news/t/using-outlook-forms-for-lateral-movement-and-persistence/13746
- https://github.com/sensepost/ruler
- https://github.com/sensepost/notruler
- https://medium.com/@bwtech789/outlook-today-homepage-persistence-33ea9b505943