T1218.009: Regsvcs/Regasm

摘要

攻击者可能滥用 Regsvcs 和 Regasm 通过受信任的 Windows 实用工具代理执行代码。Regsvcs 和 Regasm 是用于注册 .NET [组件对象模型](https://attack.mitre.org/techniques/T1559/001) (COM) 程序集的 Windows 命令行实用工具。两者都是可能由 Microsoft 数字签名的二进制文件。(Citation: MSDN Regsvcs)(Citation: MSDN Regasm) 这两个实用工具都可用于通过二进制文件内的特性来指定在注册或注销之前应运行的代码，从而绕过应用程序控制：分别为 <code>[ComRegisterFunction]</code> 或 <code>[ComUnregisterFunction]</code>。即使进程在权限不足的情况下运行并执行失败，带有注册和注销特性的代码也会被执行。(Citation: LOLBAS Regsvcs)(Citation: LOLBAS Regasm)