T1137.002: Office Test

摘要

攻击者可能滥用 Microsoft Office "Office Test" 注册表键，在已沦陷系统上获得持久化。存在一个 Office Test 注册表位置，允许用户指定一个任意 DLL，该 DLL 将在每次 Office 应用程序启动时执行。此注册表键被认为是 Microsoft 用于在开发 Office 应用程序时加载 DLL 以进行测试和调试目的。此注册表键在 Office 安装期间默认情况下不会创建。(Citation: Hexacorn Office Test)(Citation: Palo Alto Office Test Sofacy) Office Test 功能存在用户和全局注册表键，例如： * <code>HKEY_CURRENT_USER\Software\Microsoft\Office test\Special\Perf</code> * <code>HKEY_LOCAL_MACHINE\Software\Microsoft\Office test\Special\Perf</code> 攻击者可能添加此注册表键并指定一个恶意 DLL，该 DLL 将在每次 Office 应用程序(如 Word 或 Excel)启动时执行。