T1218: 系统二进制文件代理执行

摘要

攻击者可能通过使用已签名或其他受信任的二进制文件代理执行恶意内容，绕过基于进程和/或签名的防御。此技术中使用的二进制文件通常是 Microsoft 签名的文件，表明它们要么是从 Microsoft 下载的，要么已经是操作系统中的原生文件。(Citation: LOLBAS Project) 使用受信任数字证书签名的二进制文件通常可以在受数字签名验证保护的 Windows 系统上执行。若干 Windows 安装中默认的 Microsoft 签名二进制文件可用于代理执行其他文件或命令。 同样，在 Linux 系统上，攻击者可能滥用 <code>split</code> 等受信任的二进制文件来代理执行恶意命令。(Citation: split man page)(Citation: GTFO split)