T1546: 事件触发执行

摘要

攻击者可能使用基于特定事件触发执行的系统机制来建立持久化和/或提升权限。各种操作系统具有监控和订阅事件（如登录或其他用户活动，如运行特定应用程序/二进制文件）的方法。云环境还可能支持各种函数和服务，用于监控并可响应特定云事件而被调用。(Citation: Backdooring an AWS account)(Citation: Varonis Power Automate Data Exfiltration)(Citation: Microsoft DART Case Report 001) 攻击者可能滥用这些机制，作为通过反复执行恶意代码来维持对受害者持久性访问的手段。在获得对受害者系统的访问权限后，攻击者可能创建/修改事件触发器，使其指向将在事件触发器被调用时执行的恶意内容。(Citation: FireEye WMI 2015)(Citation: Malware Persistence on OS X)(Citation: amnesia malware) 由于执行可能由具有更高权限的账户（如 SYSTEM 或服务账户）代理，攻击者可能能够滥用这些触发的执行机制来提升其权限。