T1127.002: ClickOnce

摘要

攻击者可能使用 ClickOnce 应用程序(.appref-ms 和 .application 文件)通过受信任的 Windows 实用程序代理执行代码。(Citation: Burke/CISA ClickOnce BlackHat)ClickOnce 是一种部署方式，使用户能够以最少的用户交互创建自更新的基于 Windows 的 .NET 应用程序(即 .XBAP、.EXE 或 .DLL)，这些应用程序从文件共享或网页安装并运行。该应用程序作为 DFSVC.EXE 的子进程启动，DFSVC.EXE 负责安装、启动和更新该应用程序。(Citation: SpectorOps Medium ClickOnce) 由于 ClickOnce 应用程序只获得有限的权限，因此它们不需要管理员权限即可安装。(Citation: Microsoft Learn ClickOnce)因此，攻击者可能滥用 ClickOnce 来代理执行恶意代码，而无需提升权限。 ClickOnce 可能以多种方式被滥用。例如，攻击者可能依赖 [User Execution](https://attack.mitre.org/techniques/T1204)。当用户访问恶意网站时，.NET 恶意软件被伪装成合法软件，并显示一个 ClickOnce 弹出窗口进行安装。(Citation: NetSPI ClickOnce) 攻击者还可能滥用 ClickOnce，通过使用命令 `rundll32.exe dfshim.dll,ShOpenVerbApplication1` 的 [Rundll32](https://attack.mitre.org/techniques/T1218/011) 脚本执行恶意软件。(Citation: LOLBAS /Dfsvc.exe) 此外，攻击者可以将 ClickOnce 应用程序文件移动到远程用户的启动文件夹，以继续进行恶意代码部署(即 [Registry Run Keys / Startup Folder](https://attack.mitre.org/techniques/T1547/001))。(Citation: Burke/CISA ClickOnce BlackHat)(Citation: Burke/CISA ClickOnce Paper)