T1505.005: 终端服务 DLL

摘要

攻击者可能滥用终端服务的组件以实现对系统的持久访问。Microsoft 终端服务（自 2022 年起在某些 Windows Server 操作系统中更名为远程桌面服务）支持到主机的远程终端连接。终端服务允许服务器通过 RDP 向客户端传输完整的、交互式的图形用户界面。(Citation: Microsoft Remote Desktop Services) 作为“通用”进程（例如 <code>svchost.exe</code>）运行的 [Windows 服务](https://attack.mitre.org/techniques/T1543/003)会加载该服务的 DLL 文件，其位置存储在名为 <code>ServiceDll</code> 的注册表项中。(Citation: Microsoft System Services Fundamentals) <code>termsrv.dll</code> 文件通常存储在 `%SystemRoot%\System32\` 中，是 `HKLM\System\CurrentControlSet\services\TermService\Parameters\` 中终端服务的默认 <code>ServiceDll</code> 值。 攻击者可能修改和/或替换终端服务 DLL，以实现对受害主机的持久访问。(Citation: James TermServ DLL) 对此 DLL 的修改可用于执行任意载荷（同时可能保留正常的 <code>termsrv.dll</code> 功能），以及仅启用终端服务的可滥用功能。例如，攻击者可能通过修补 <code>termsrv.dll</code> 文件或修改 <code>ServiceDll</code> 值指向提供增强 RDP 功能的 DLL，来启用诸如并发[远程桌面协议](https://attack.mitre.org/techniques/T1021/001)会话等功能。(Citation: Windows OS Hub RDP)(Citation: RDPWrap Github) 在非服务器 Windows 操作系统上，此增强功能还可能使攻击者能够避开在新 RDP 会话创建时警告/注销系统用户的终端服务提示。