T1546.010: AppInit DLLs

摘要

攻击者可能通过执行由加载到进程中的 AppInit DLL 触发的恶意内容来建立持久化和/或提升权限。在注册表键 <code>HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Windows</code> 或 <code>HKEY_LOCAL_MACHINE\Software\Wow6432Node\Microsoft\Windows NT\CurrentVersion\Windows</code> 中的 <code>AppInit_DLLs</code> 值指定的动态链接库（DLL）会被 user32.dll 加载到每个加载 user32.dll 的进程中。实际上这几乎是每个程序，因为 user32.dll 是一个非常常见的库。(Citation: Elastic Process Injection July 2017) 与进程注入类似，这些值可被滥用，通过使恶意 DLL 在计算机上单独的进程上下文中加载和运行来获得提升的权限。(Citation: AppInit Registry) 恶意 AppInit DLL 也可能通过被 API 活动持续触发来提供持久化。 在 Windows 8 及更高版本中，当启用安全启动时，AppInit DLL 功能被禁用。(Citation: AppInit Secure Boot)