T1197: BITS 作业

摘要

攻击者可能滥用 BITS 作业来持久执行代码并执行各种后台任务。Windows 后台智能传输服务 (BITS) 是一种低带宽、异步的文件传输机制，通过[组件对象模型](https://attack.mitre.org/techniques/T1559/001) (COM) 暴露。(Citation: Microsoft COM)(Citation: Microsoft BITS) BITS 通常被更新程序、消息程序和其他倾向于在后台运行（使用可用空闲带宽）而不中断其他网络应用程序的应用程序使用。文件传输任务实现为 BITS 作业，其中包含一个或多个文件操作的队列。 创建和管理 BITS 作业的接口可通过 [PowerShell](https://attack.mitre.org/techniques/T1059/001) 和 [BITSAdmin](https://attack.mitre.org/software/S0190) 工具访问。(Citation: Microsoft BITS)(Citation: Microsoft BITSAdmin) 攻击者可能滥用 BITS 来下载（例如[入口工具传输](https://attack.mitre.org/techniques/T1105)）、执行，甚至在运行恶意代码后进行清理（例如[痕迹清除](https://attack.mitre.org/techniques/T1070)）。BITS 任务自包含在 BITS 作业数据库中，无需新文件或注册表修改，并且通常被主机防火墙允许。(Citation: CTU BITS Malware June 2016)(Citation: Mondok Windows PiggyBack BITS May 2007)(Citation: Symantec BITS May 2007) 启用 BITS 的执行还可能通过创建长期存在的作业（默认最大生存期为 90 天且可延长）或在作业完成或出错时（包括系统重启后）调用任意程序来实现持久化。(Citation: PaloAlto UBoatRAT Nov 2017)(Citation: CTU BITS Malware June 2016) BITS 上传功能还可用于执行[通过备用协议窃取](https://attack.mitre.org/techniques/T1048)。(Citation: CTU BITS Malware June 2016)