T1218.012: Verclsid

摘要

攻击者可能滥用 verclsid.exe 代理执行恶意代码。Verclsid.exe 被称为 Extension CLSID Verification Host，负责在 Windows Explorer 或 Windows Shell 使用每个 shell 扩展之前对其进行验证。(Citation: WinOSBite verclsid.exe) 攻击者可能滥用 verclsid.exe 来执行恶意载荷。这可以通过运行 <code>verclsid.exe /S /C {CLSID}</code> 实现，其中文件由 Class ID (CLSID) 引用，CLSID 是用于标识 COM 对象的唯一标识号。由 verclsid.exe 执行的 COM 载荷可能能够执行各种恶意操作，例如从远程服务器加载和执行 COM scriptlet (SCT)（类似于 [Regsvr32](https://attack.mitre.org/techniques/T1218/010)）。由于该二进制文件可能是已签名和/或在 Windows 系统上原生的，通过 verclsid.exe 代理执行可能绕过未考虑其潜在滥用的应用程序控制解决方案。(Citation: LOLBAS Verclsid)(Citation: Red Canary Verclsid.exe)(Citation: BOHOPS Abusing the COM Registry)(Citation: Nick Tyrer GitHub)