T1547.013: XDG 自动启动项

摘要

攻击者可能添加或修改 XDG 自动启动项，以在用户登录时加载桌面环境时执行恶意程序或命令。XDG 自动启动项适用于任何符合 XDG 的 Linux 系统。XDG 自动启动项使用桌面项文件（`.desktop`）在用户登录时配置用户的桌面环境。这些配置文件确定用户登录时启动哪些应用程序、定义打开特定文件类型的关联应用程序，以及定义用于打开可移动媒体的应用程序。(Citation: Free Desktop Application Autostart Feb 2006)(Citation: Free Desktop Entry Keys) 攻击者可能滥用此功能建立持久化，方法是将恶意二进制文件或命令的路径添加到 `.desktop` 配置文件中的 `Exec` 指令。当用户登录时加载用户的桌面环境时，位于 XDG 自动启动目录中的 `.desktop` 文件会自动执行。全系统自动启动项位于 `/etc/xdg/autostart` 目录，而用户项位于 `~/.config/autostart` 目录。 攻击者可能将此技术与[伪装](https://attack.mitre.org/techniques/T1036)结合使用，将恶意自动启动项与合法程序混在一起。(Citation: Red Canary Netwire Linux 2022)