T1546.007: Netsh 助手 DLL

摘要

攻击者可能通过执行由 Netsh Helper DLL 触发的恶意内容来建立持久化。Netsh.exe（也称为 Netshell）是一种命令行脚本实用工具，用于与系统的网络配置交互。它包含用于添加助手 DLL 以扩展该实用工具功能的功能。(Citation: TechNet Netsh) 已注册的 netsh.exe 助手 DLL 的路径被输入到 Windows 注册表中的 <code>HKLM\SOFTWARE\Microsoft\Netsh</code>。 攻击者可以使用 netsh.exe 助手 DLL 以持久化的方式触发任意代码的执行。此执行会在每次运行 netsh.exe 时发生，而 netsh.exe 可能自动运行、通过另一种持久化技术运行，或者如果系统上存在其他软件（例如 VPN）在其正常功能中执行 netsh.exe。(Citation: Github Netsh Helper CS Beacon)(Citation: Demaske Netsh Persistence)