T1218.010: Regsvr32

摘要

攻击者可能滥用 Regsvr32.exe 代理执行恶意代码。Regsvr32.exe 是一个命令行程序，用于在 Windows 系统上注册和注销对象链接与嵌入控件，包括动态链接库 (DLL)。Regsvr32.exe 二进制文件也可能由 Microsoft 签名。(Citation: Microsoft Regsvr32) 恶意使用 Regsvr32.exe 可能避免触发那些因允许列表或 Windows 正常操作使用 regsvr32.exe 造成的误报而可能不监控 regsvr32.exe 进程执行及其加载模块的安全工具。Regsvr32.exe 还可专门用于绕过应用程序控制，利用加载 COM scriptlet 以在用户权限下执行 DLL 的功能。由于 Regsvr32.exe 具有网络和代理感知能力，可以在调用期间通过将外部 Web 服务器上文件的统一资源定位符 (URL) 作为参数传递来加载脚本。此方法不会对注册表进行任何更改，因为 COM 对象实际上并未注册，只是被执行。(Citation: LOLBAS Regsvr32) 此技术的这种变体通常被称为 “Squiblydoo”，并已用于针对政府的活动中。(Citation: Carbon Black Squiblydoo Apr 2016)(Citation: FireEye Regsvr32 Targeting Mongolian Gov) Regsvr32.exe 还可用于注册一个 COM 对象，通过[组件对象模型劫持](https://attack.mitre.org/techniques/T1546/015)建立持久化。(Citation: Carbon Black Squiblydoo Apr 2016)