T1218.007: Msiexec

摘要

攻击者可能滥用 msiexec.exe 代理执行恶意载荷。Msiexec.exe 是 Windows Installer 的命令行实用工具，因此通常与执行安装包 (.msi) 相关联。(Citation: Microsoft msiexec) Msiexec.exe 二进制文件也可能由 Microsoft 数字签名。 攻击者可能滥用 msiexec.exe 来启动本地或网络可访问的 MSI 文件。Msiexec.exe 还可以执行 DLL。(Citation: LOLBAS Msiexec)(Citation: TrendMicro Msiexec Feb 2018) 由于它可能是已签名且在 Windows 系统上原生的，msiexec.exe 可用于绕过未考虑其潜在滥用的应用程序控制解决方案。如果启用了 <code>AlwaysInstallElevated</code> 策略，Msiexec.exe 执行还可能提升为 SYSTEM 权限。(Citation: Microsoft AlwaysInstallElevated 2018)