T1547.009: 快捷方式修改

摘要

攻击者可能创建或修改可在系统引导或用户登录期间执行程序的快捷方式。快捷方式或符号链接用于引用在快捷方式被点击或由系统启动过程执行时将打开或执行的其他文件或程序。 攻击者可能滥用启动文件夹中的快捷方式以执行其工具并实现持久化。(Citation: Shortcut for Persistence ) 尽管通常作为感染链中的载荷使用（例如[鱼叉式钓鱼附件](https://attack.mitre.org/techniques/T1566/001)），攻击者也可能创建一个新快捷方式作为间接手段，同时滥用[伪装](https://attack.mitre.org/techniques/T1036)使恶意快捷方式看起来像合法程序。攻击者还可以编辑目标路径或完全替换现有快捷方式，使其恶意软件被执行而非预期的合法程序。 快捷方式也可能通过实现其他方法被滥用建立持久化。例如，LNK 浏览器扩展可能被修改（例如[浏览器扩展](https://attack.mitre.org/techniques/T1176/001)）以持久性地启动恶意软件。