T1547.014: Active Setup

摘要

攻击者可能通过向本地机器的 Active Setup 添加注册表键来实现持久化。Active Setup 是一种 Windows 机制，用于在用户登录时执行程序。存储在注册表键中的值将在用户登录计算机后执行。(Citation: Klein Active Setup 2010) 这些程序将在用户的上下文中执行，并具有该账户关联的权限级别。 攻击者可能滥用 Active Setup，方法是在 <code> HKLM\SOFTWARE\Microsoft\Active Setup\Installed Components\</code> 下创建一个键，并为 <code>StubPath</code> 设置恶意值。此值将作为用户登录计算机时执行的程序。(Citation: Mandiant Glyer APT 2010)(Citation: Citizenlab Packrat 2015)(Citation: FireEye CFR Watering Hole 2012)(Citation: SECURELIST Bright Star 2015)(Citation: paloalto Tropic Trooper 2016) 攻击者可以滥用这些组件执行恶意软件（如远程访问工具），以通过系统重启维持持久化。攻击者还可能使用[伪装](https://attack.mitre.org/techniques/T1036)使注册表条目看起来与合法程序相关联。