T1202: 间接命令执行

摘要

攻击者可能滥用允许命令执行的实用工具，绕过限制使用命令行解释器的安全限制。各种 Windows 实用工具可用于执行命令，可能无需调用 [cmd](https://attack.mitre.org/software/S0106)。例如，[Forfiles](https://attack.mitre.org/software/S0193)、程序兼容性助手 (`pcalua.exe`)、Windows Subsystem for Linux (WSL) 的组件、`Scriptrunner.exe` 以及其他实用工具，都可以从[命令和脚本解释器](https://attack.mitre.org/techniques/T1059)、运行窗口或通过脚本调用程序和执行命令。(Citation: VectorSec ForFiles Aug 2017)(Citation: Evi1cg Forfiles Nov 2017)(Citation: Secure Team - Scriptrunner.exe)(Citation: SS64)(Citation: Bleeping Computer - Scriptrunner.exe) 攻击者还可能滥用 `ssh.exe` 二进制文件，通过 `ProxyCommand` 和 `LocalCommand` 选项执行恶意命令，这些选项可以通过 `-o` 标志调用，或通过修改 SSH 配置文件来调用。(Citation: Threat Actor Targets the Manufacturing industry with Lumma Stealer and Amadey Bot) 攻击者可能滥用这些功能来实现[隐蔽](https://attack.mitre.org/tactics/TA0005)，特别是在颠覆检测和/或缓解控制（如限制/阻止使用 [cmd](https://attack.mitre.org/software/S0106) 或与恶意载荷更常关联的文件扩展名的组策略）的同时执行任意执行。