T1546.016: 安装程序包

摘要

攻击者可能使用安装程序触发恶意内容的执行来建立持久化并提升权限。安装程序包是特定于操作系统的，包含操作系统在系统上安装应用程序所需的资源。安装程序包可以包含在安装之前以及安装完成之后运行的脚本。安装程序脚本在执行时可能继承提升的权限。开发人员经常使用这些脚本来准备安装环境、检查要求、下载依赖项以及在安装后删除文件。(Citation: Installer Package Scripting Rich Trouton) 攻击者利用合法应用程序，分发了带有修改后安装脚本的应用程序以执行恶意内容。当用户安装该应用程序时，可能被要求授予管理权限以允许安装。在合法应用程序的安装过程结束时，诸如 macOS `postinstall` 脚本之类的内容可以在继承的提升权限下执行。攻击者可以使用这些脚本以提升的权限执行恶意可执行文件或安装其他恶意组件（如[启动守护进程](https://attack.mitre.org/techniques/T1543/004)）。(Citation: Application Bundle Manipulation Brandon Dalton)(Citation: wardle evilquest parti)(Citation: Windows AppleJeus GReAT)(Citation: Debian Manual Maintainer Scripts) 根据发行版的不同，Linux 版本的软件包安装程序脚本有时称为维护者脚本或安装后脚本。这些脚本可以包括 `preinst`、`postinst`、`prerm`、`postrm` 脚本，并在执行时以 root 身份运行。 对于 Windows，Microsoft Installer 服务使用 `.msi` 文件来管理应用程序的安装、更新和卸载。这些安装例程也可能包含执行可能被攻击者滥用的附加操作的指令。(Citation: Microsoft Installation Procedures)