T1546.012: 映像文件执行选项注入

摘要

攻击者可能通过执行由映像文件执行选项（IFEO）调试器触发的恶意内容来建立持久化和/或提升权限。IFEO 使开发人员能够将调试器附加到应用程序。当创建进程时，应用程序 IFEO 中存在的调试器会被前置到应用程序名称之前，实际上是在调试器下启动新进程（例如 <code>C:\dbg\ntsd.exe -g notepad.exe</code>）。(Citation: Microsoft Dev Blog IFEO Mar 2010) IFEO 可以直接通过注册表设置，或通过 GFlags 工具在全局标志（Global Flags）中设置。(Citation: Microsoft GFlags Mar 2017) IFEO 在注册表中表示为 <code>HKLM\SOFTWARE{\Wow6432Node}\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\<executable></code> 下的 <code>Debugger</code> 值，其中 <code>&lt;executable&gt;</code> 是附加调试器的二进制文件。(Citation: Microsoft Dev Blog IFEO Mar 2010) IFEO 还可以使任意监视程序在指定程序静默退出（即由自身或被第二个非内核模式进程过早终止）时启动。(Citation: Microsoft Silent Process Exit NOV 2017)(Citation: Oddvar Moe IFEO APR 2018) 与调试器类似，静默退出监视可以通过 GFlags 启用，和/或通过直接修改 <code>HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\SilentProcessExit\</code> 中的 IFEO 和静默进程退出注册表值来启用。(Citation: Microsoft Silent Process Exit NOV 2017)(Citation: Oddvar Moe IFEO APR 2018) 与[辅助功能](https://attack.mitre.org/techniques/T1546/008)类似，在 Windows Vista 及更高版本以及 Windows Server 2008 及更高版本上，可以修改注册表键，将 "cmd.exe" 或其他提供后门访问的程序配置为辅助功能程序（例如 utilman.exe）的“调试器”。修改注册表后，在登录屏幕坐在键盘前或通过[远程桌面协议](https://attack.mitre.org/techniques/T1021/001)连接时按下相应的组合键，将导致“调试器”程序以 SYSTEM 权限执行。(Citation: Tilbury 2014) 与[进程注入](https://attack.mitre.org/techniques/T1055)类似，这些值也可能被滥用，通过使恶意可执行文件在计算机上单独的进程上下文中加载和运行来获得权限提升。(Citation: Elastic Process Injection July 2017) 安装 IFEO 机制还可能通过持续触发调用提供持久化。 恶意软件还可能使用 IFEO 通过注册无效的调试器来削弱防御，这些调试器会重定向并有效禁用各种系统和安全应用程序。(Citation: FSecure Hupigon)(Citation: Symantec Ushedix June 2008)