T1127: 受信任的开发人员实用程序代理执行

摘要

攻击者可能利用受信任的开发人员实用程序来代理执行恶意载荷。有许多用于软件开发相关任务的实用程序可用于以各种形式执行代码，以协助开发、调试和逆向工程。(Citation: engima0x3 DNX Bypass)(Citation: engima0x3 RCSI Bypass)(Citation: Exploit Monday WinDbg)(Citation: LOLBAS Tracker)这些实用程序通常可能使用合法证书签名，使其能够在系统上执行，并通过受信任的进程代理执行恶意代码，从而有效绕过应用程序控制解决方案。 Smart App Control 是 Windows 的一项功能，它通过在执行未签名应用程序之前对照 Microsoft 云服务中的已知安全列表进行验证，来阻止其认为可能恶意的应用程序运行。(Citation: Microsoft Smart App Control)然而，攻击者可能利用"信誉劫持"来滥用操作系统对支持执行任意代码的安全、已签名应用程序的信任。通过利用 [Trusted Developer Utilities Proxy Execution](https://attack.mitre.org/techniques/T1127) 运行其恶意代码，攻击者可能绕过 Smart App Control 保护。(Citation: Elastic Security Labs)