T1574.014: AppDomainManager

摘要

攻击者可能通过劫持 .NET `AppDomainManager` 加载程序集的方式来执行自己的恶意载荷。.NET 框架使用 `AppDomainManager` 类在进程内创建和管理一个或多个隔离的运行时环境（称为应用程序域），以承载 .NET 应用程序的执行。程序集（编译为作为 .NET 代码运行的 `.exe` 或 `.dll` 二进制文件）可以作为可执行代码加载到应用程序域中。(Citation: Microsoft App Domains) 这被称为 "AppDomainManager 注入"，攻击者可能通过劫持 .NET 应用程序加载程序集的方式来执行任意代码。例如，恶意软件可能在目标进程内创建自定义应用程序域，以加载和执行任意程序集。或者，定义 .NET 运行时设置的配置文件（`.config`）或进程环境变量可能被篡改，以指示原本良性的 .NET 应用程序将恶意程序集（按名称标识）加载到目标进程中。(Citation: PenTestLabs AppDomainManagerInject)(Citation: PwC Yellow Liderc)(Citation: Rapid7 AppDomain Manager Injection)