T1505.002: 传输代理

摘要

攻击者可能滥用 Microsoft 传输代理来建立对系统的持久访问。Microsoft Exchange 传输代理可以对通过传输管道传递的电子邮件进行操作，以执行各种任务，例如过滤垃圾邮件、过滤恶意附件、日记记录，或在所有外发电子邮件末尾添加公司签名。(Citation: Microsoft TransportAgent Jun 2016)(Citation: ESET LightNeuron May 2019) 传输代理可以由应用程序开发人员编写，然后编译为 .NET 程序集，随后注册到 Exchange 服务器。传输代理将在电子邮件处理的指定阶段被调用，并执行开发人员定义的任务。 攻击者可能注册恶意传输代理，以在 Exchange Server 中提供可由攻击者指定的电子邮件事件触发的持久化机制。(Citation: ESET LightNeuron May 2019) 尽管恶意传输代理可能对通过 Exchange 传输管道的所有电子邮件都被调用，但该代理可以配置为仅响应攻击者定义的条件执行特定任务。例如，仅当收件人电子邮件地址与攻击者提供的列表中的条目匹配时，传输代理才执行诸如复制传输中的附件并将其保存以供稍后窃取之类的操作。