T1547: 引导或登录自动启动执行

摘要

攻击者可能配置系统设置在系统引导或登录期间自动执行程序，以在受感染系统上维持持久化或获得更高级别的权限。操作系统可能具有在系统引导或账户登录时自动运行程序的机制。(Citation: Microsoft Run Key)(Citation: MSDN Authentication Packages)(Citation: Microsoft TimeProvider)(Citation: Cylance Reg Persistence Sept 2013)(Citation: Linux Kernel Programming) 这些机制可能包括自动执行放置在专门指定目录中或由存储配置信息的存储库（如 Windows 注册表）引用的程序。攻击者可能通过修改或扩展内核功能来实现相同目标。 由于某些引导或登录自动启动程序以更高权限运行，攻击者可能利用它们来提升权限。