T1546.008: 辅助功能

摘要

攻击者可能通过执行由辅助功能触发的恶意内容来建立持久化和/或提升权限。Windows 包含辅助功能，可在用户登录之前通过组合键启动（例如当用户处于 Windows 登录屏幕时）。攻击者可以修改这些程序的启动方式，以在无需登录系统的情况下获得命令提示符或后门。 两个常见的辅助功能程序是 <code>C:\Windows\System32\sethc.exe</code>（在按下 Shift 键五次时启动）和 <code>C:\Windows\System32\utilman.exe</code>（在按下 Windows + U 组合键时启动）。sethc.exe 程序通常被称为“粘滞键”(sticky keys)，已被攻击者用于通过远程桌面登录屏幕进行未经身份验证的访问。(Citation: FireEye Hikit Rootkit) 根据 Windows 的版本，攻击者可能以不同方式利用这些功能。攻击者常用的方法包括替换辅助功能二进制文件或注册表中对这些二进制文件的指针/引用。在较新版本的 Windows 中，对于 x64 系统，被替换的二进制文件需要经过数字签名，二进制文件必须位于 <code>%systemdir%\</code> 中，并且必须受 Windows 文件或资源保护（WFP/WRP）的保护。(Citation: DEFCON2016 Sticky Keys) [映像文件执行选项注入](https://attack.mitre.org/techniques/T1546/012)调试器方法很可能被发现是一种潜在的变通方法，因为它不需要替换相应的辅助功能二进制文件。 例如，对于 Windows XP 及更高版本以及 Windows Server 2003/R2 及更高版本上的简单二进制文件替换，程序（例如 <code>C:\Windows\System32\utilman.exe</code>）可能被替换为 "cmd.exe"（或提供后门访问的其他程序）。随后，在登录屏幕坐在键盘前或通过[远程桌面协议](https://attack.mitre.org/techniques/T1021/001)连接时按下相应的组合键，将导致被替换的文件以 SYSTEM 权限执行。(Citation: Tilbury 2014) 还存在其他辅助功能，也可能以类似方式被利用：(Citation: DEFCON2016 Sticky Keys)(Citation: Narrator Accessibility Abuse) * 屏幕键盘：<code>C:\Windows\System32\osk.exe</code> * 放大镜：<code>C:\Windows\System32\Magnify.exe</code> * 讲述人：<code>C:\Windows\System32\Narrator.exe</code> * 显示切换器：<code>C:\Windows\System32\DisplaySwitch.exe</code> * 应用切换器：<code>C:\Windows\System32\AtBroker.exe</code>