T1546.001: 更改默认文件关联

摘要

攻击者可能通过执行由文件类型关联触发的恶意内容来建立持久化。当打开文件时，会检查用于打开该文件的默认程序（也称为文件关联或处理程序）。文件关联选择存储在 Windows 注册表中，可由用户、管理员或具有注册表访问权限的程序编辑，或由管理员使用内置的 assoc 实用工具编辑。(Citation: Microsoft Change Default Programs)(Citation: Microsoft File Handlers)(Citation: Microsoft Assoc Oct 2017) 应用程序可以修改给定文件扩展名的文件关联，以便在打开具有该扩展名的文件时调用任意程序。 系统文件关联列在 <code>HKEY_CLASSES_ROOT\.[extension]</code> 下，例如 <code>HKEY_CLASSES_ROOT\.txt</code>。这些条目指向位于 <code>HKEY_CLASSES_ROOT\\[handler]</code> 的该扩展名的处理程序。各命令随后作为子键列在 <code>HKEY_CLASSES_ROOT\\[handler]\shell\\[action]\command</code> 下的 shell 键之下。例如： * <code>HKEY_CLASSES_ROOT\txtfile\shell\open\command</code> * <code>HKEY_CLASSES_ROOT\txtfile\shell\print\command</code> * <code>HKEY_CLASSES_ROOT\txtfile\shell\printto\command</code> 所列键的值是当处理程序打开该文件扩展名时执行的命令。攻击者可以修改这些值以持续执行任意命令。(Citation: TrendMicro TROJ-FAKEAV OCT 2012)