T1547.002: 身份验证包

摘要

攻击者可能滥用身份验证包在系统引导时执行 DLL。Windows 身份验证包 DLL 由本地安全机构（LSA）进程在系统启动时加载。它们为操作系统提供对多个登录进程和多个安全协议的支持。(Citation: MSDN Authentication Packages) 攻击者可以利用 LSA 身份验证包提供的自动启动机制实现持久化，方法是将对二进制文件的引用放置在 Windows 注册表位置 <code>HKLM\SYSTEM\CurrentControlSet\Control\Lsa\</code>，键值为 <code>"Authentication Packages"=&lt;target binary&gt;</code>。当身份验证包被加载时，系统将执行该二进制文件。