T1218.013: Mavinject

摘要

攻击者可能滥用 mavinject.exe 代理执行恶意代码。Mavinject.exe 是 Microsoft Application Virtualization Injector，一个作为 Microsoft Application Virtualization (App-V) 一部分可将代码注入外部进程的 Windows 实用工具。(Citation: LOLBAS Mavinject) 攻击者可能滥用 mavinject.exe 将恶意 DLL 注入正在运行的进程（即[动态链接库注入](https://attack.mitre.org/techniques/T1055/001)），从而实现任意代码执行（例如 <code>C:\Windows\system32\mavinject.exe PID /INJECTRUNNING PATH_DLL</code>）。(Citation: ATT Lazarus TTP Evolution)(Citation: Reaqta Mavinject) 由于 mavinject.exe 可能由 Microsoft 数字签名，通过此方法代理执行可能逃避安全产品的检测，因为该执行被掩盖在合法进程之下。 除了[动态链接库注入](https://attack.mitre.org/techniques/T1055/001)外，Mavinject.exe 还可被滥用通过其 <code>/HMODULE</code> 命令行参数执行导入描述符注入（例如 <code>mavinject.exe PID /HMODULE=BASE_ADDRESS PATH_DLL ORDINAL_NUMBER</code>）。此命令会将由指定 DLL 组成的导入表项注入到给定基地址处的模块中。(Citation: Mavinject Functionality Deconstructed)