T1218

اجرای proxy با باینری سیستمی

System Binary Proxy Execution

توضیحات

مهاجمان از باینری‌های امضاشده و مورد اعتماد سیستم برای اجرای payload‌های مخرب استفاده می‌کنند. این تکنیک که به عنوان Living off the Land نیز شناخته می‌شود، از ابزارهایی مانند rundll32، regsvr32، mshta، certutil و سایر ابزارهای سیستمی برای دور زدن Application Whitelisting استفاده می‌کند.

زیرتکنیک‌ها (4)

شناسهنام

T1218.003

CMSTPCMSTP

مهاجمان از Microsoft Connection Manager Profile Installer (CMSTP.exe) برای اجرای DLL‌های مخرب یا دور زدن UAC استفاده می‌کنند. CMSTP یک باینری امضاشده ویندوز است که می‌تواند برای اجرای payload‌های مخرب استفاده شود.

T1218.005

MshtaMshta

مهاجمان از mshta.exe برای اجرای فایل‌های HTA (HTML Application) مخرب استفاده می‌کنند. HTA فایل‌ها می‌توانند شامل VBScript یا JScript باشند که با سطح دسترسی کامل اجرا می‌شوند. mshta.exe یک باینری امضاشده ویندوز است.

T1218.010

Regsvr32Regsvr32

مهاجمان از regsvr32.exe برای اجرای DLL‌های مخرب و دور زدن Application Whitelisting استفاده می‌کنند. regsvr32 می‌تواند COM scriptlet‌ها را از URL‌های خارجی دانلود و اجرا کند که به این تکنیک Squiblydoo نیز گفته می‌شود.

T1218.011

Rundll32Rundll32

مهاجمان از rundll32.exe برای اجرای DLL‌های مخرب استفاده می‌کنند. rundll32 یک باینری قانونی ویندوز است که می‌تواند برای اجرای توابع صادر شده از DLL‌ها استفاده شود. این تکنیک برای دور زدن Application Whitelisting رایج است.

روش‌های شناسایی

نظارت بر استفاده غیرعادی از باینری‌های سیستمی. شناسایی rundll32 و regsvr32 با آرگومان‌های مشکوک. بررسی دانلود از URL‌های خارجی توسط ابزارهای سیستمی. تحلیل رفتار باینری‌های سیستمی.

روش‌های مقابله

پیاده‌سازی Application Whitelisting. نظارت بر باینری‌های سیستمی. استفاده از Attack Surface Reduction Rules. محدود کردن دسترسی به ابزارهای سیستمی. استفاده از EDR.