T1216.002: SyncAppvPublishingServer

摘要

攻击者可能滥用 SyncAppvPublishingServer.vbs 代理执行恶意 [PowerShell](https://attack.mitre.org/techniques/T1059/001) 命令。SyncAppvPublishingServer.vbs 是一个与 Windows 如何虚拟化应用程序（Microsoft Application Virtualization，即 App-V）相关的 Visual Basic 脚本。(Citation: 1 - appv) 例如，Windows 可以将 Win32 应用程序作为虚拟应用程序呈现给用户，允许用户像本地安装一样启动和与之交互。(Citation: 2 - appv)(Citation: 3 - appv) SyncAppvPublishingServer.vbs 脚本是合法的，可能由 Microsoft 签名，通常从 `\System32` 通过命令行经 `wscript.exe` 执行。(Citation: 4 - appv)(Citation: 5 - appv) 攻击者可能滥用 SyncAppvPublishingServer.vbs 来绕过 [PowerShell](https://attack.mitre.org/techniques/T1059/001) 执行限制，并通过“就地取材”逃避防御性对策。(Citation: 6 - appv)(Citation: 4 - appv) 代理执行可作为直接调用 `powershell.exe` 的受信任/已签名替代方案。(Citation: 7 - appv) 例如，可以使用以下方式调用 [PowerShell](https://attack.mitre.org/techniques/T1059/001) 命令：(Citation: 5 - appv) `SyncAppvPublishingServer.vbs "n; {PowerShell}"`