T1556.008: 网络提供程序 DLL

摘要

攻击者可能注册恶意网络提供程序动态链接库（DLL），以在身份验证过程中捕获明文用户凭据。网络提供程序 DLL 允许 Windows 与特定网络协议接口，还可以支持附加的凭据管理功能。(Citation: Network Provider API) 在登录过程中，Winlogon（交互式登录模块）通过 RPC 将凭据发送到本地 `mpnotify.exe` 进程。然后 `mpnotify.exe` 进程在通知登录事件正在发生时，以明文与已注册的凭据管理器共享凭据。(Citation: NPPSPY - Huntress)(Citation: NPPSPY Video)(Citation: NPLogonNotify) 攻击者可以配置恶意网络提供程序 DLL 以从 `mpnotify.exe` 接收凭据。(Citation: NPPSPY) 一旦作为凭据管理器安装（通过注册表），恶意 DLL 可以在每次用户通过 `NPLogonNotify()` 函数登录 Windows 工作站或域时接收并保存凭据。(Citation: NPLogonNotify) 攻击者可能以在已知具有增加登录活动/或管理员登录活动的系统（如服务器和域控制器）上植入恶意网络提供程序 DLL 为目标。(Citation: NPPSPY - Huntress)