T1547.012: 打印处理器

摘要

攻击者可能滥用打印处理器在系统引导期间运行恶意 DLL，以实现持久化和/或权限提升。打印处理器是由打印后台处理程序服务 `spoolsv.exe` 在引导期间加载的 DLL。(Citation: Microsoft Intro Print Processors) 攻击者可能通过添加在启动时加载恶意 DLL 的打印处理器来滥用打印后台处理程序服务。可以使用启用了 <code>SeLoadDriverPrivilege</code> 的账户通过 <code>AddPrintProcessor</code> API 调用安装打印处理器。或者，可以通过添加指向该 DLL 的 <code>HKLM\SYSTEM\\[CurrentControlSet or ControlSet001]\Control\Print\Environments\\[Windows architecture: e.g., Windows x64]\Print Processors\\[user defined]\Driver</code> 注册表键，将打印处理器注册到打印后台处理程序服务。 为使恶意打印处理器正确安装，载荷必须位于专用系统打印处理器目录中（可通过 <code>GetPrintProcessorDirectory</code> API 调用找到），或通过此目录的相对路径引用。(Citation: Microsoft AddPrintProcessor May 2018) 在打印处理器安装后，必须重启在引导期间启动的打印后台处理程序服务，以便它们运行。(Citation: ESET PipeMon May 2020) 打印后台处理程序服务在 SYSTEM 级权限下运行，因此由攻击者安装的打印处理器可能以提升的权限运行。