T1547.003: 时间提供程序

摘要

攻击者可能滥用时间提供程序在系统引导时执行 DLL。Windows 时间服务（W32Time）实现跨域和域内的时间同步。(Citation: Microsoft W32Time Feb 2018) W32Time 时间提供程序负责从硬件/网络资源检索时间戳并将这些值输出到其他网络客户端。(Citation: Microsoft TimeProvider) 时间提供程序实现为动态链接库（DLL），注册在 `HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\W32Time\TimeProviders\` 的子键中。(Citation: Microsoft TimeProvider) 时间提供程序管理器（由服务控制管理器指导）在系统启动时和/或每当参数更改时加载并启动此键下列出并启用的时间提供程序。(Citation: Microsoft TimeProvider) 攻击者可能滥用此架构建立持久化，具体是通过创建一个新的任意命名子键，并在 `DllName` 值中指向恶意 DLL。注册时间提供程序需要管理员权限，不过执行将在 Local Service 账户的上下文中运行。(Citation: Github W32Time Oct 2017)