T1547.004: Winlogon 助手 DLL

摘要

攻击者可能滥用 Winlogon 的功能在用户登录时执行 DLL 和/或可执行文件。Winlogon.exe 是一个 Windows 组件，负责登录/注销时的操作以及由 Ctrl-Alt-Delete 触发的安全注意序列（SAS）。<code>HKLM\Software[\\Wow6432Node\\]\Microsoft\Windows NT\CurrentVersion\Winlogon\</code> 和 <code>HKCU\Software\Microsoft\Windows NT\CurrentVersion\Winlogon\</code> 中的注册表项用于管理支持 Winlogon 的附加助手程序和功能。(Citation: Cylance Reg Persistence Sept 2013) 对这些注册表键的恶意修改可能导致 Winlogon 加载并执行恶意 DLL 和/或可执行文件。具体而言，以下子键已知可能容易受到滥用：(Citation: Cylance Reg Persistence Sept 2013) * Winlogon\Notify - 指向处理 Winlogon 事件的通知包 DLL * Winlogon\Userinit - 指向 userinit.exe，即用户登录时执行的用户初始化程序 * Winlogon\Shell - 指向 explorer.exe，即用户登录时执行的系统 shell 攻击者可能利用这些功能反复执行恶意代码并建立持久化。