T1546.015: 组件对象模型劫持

摘要

攻击者可能通过执行由被劫持的组件对象模型（COM）对象引用触发的恶意内容来建立持久化。COM 是 Windows 内部的一个系统，用于通过操作系统实现软件组件之间的交互。(Citation: Microsoft Component Object Model) 对各种 COM 对象的引用存储在注册表中。 攻击者可能使用 COM 系统插入恶意代码，通过劫持 COM 引用和关系来替代合法软件执行，以此作为持久化的手段。劫持 COM 对象需要更改注册表以替换对合法系统组件的引用，这可能导致该组件执行时无法工作。当该系统组件通过正常系统操作执行时，将改为执行攻击者的代码。(Citation: GDATA COM Hijacking) 攻击者很可能劫持使用足够频繁以维持一致持久化水平的对象，但不太可能破坏系统中明显可见的功能，以避免可能导致检测的系统不稳定。 COM 劫持的一种变体涉及滥用类型库（TypeLib），它们提供有关 COM 对象的元数据，如它们的接口和方法。攻击者可能修改与类型库关联的注册表键，将合法 COM 对象功能重定向到恶意脚本或载荷。与通常使用本地 DLL 的传统 COM 劫持不同，此变体可能利用 "script:" 标记来执行托管在外部服务器上的远程脚本。(Citation: RELIAQUEST) 这种方法能够在维持持久化的同时隐蔽地执行代码，因为每当被劫持的 COM 对象被访问时，远程载荷都会被自动下载。