T1674: 输入注入

摘要

攻击者可能通过各种方式在受害者计算机上模拟按键，以代表用户执行任何类型的操作，例如使用键盘快捷键启动命令解释器、输入要执行的内联脚本，或直接与基于 GUI 的应用程序交互。这些操作可以被预编程到攻击者工具中，或通过物理设备（如人机接口设备（HID））执行。 例如，攻击者使用了监控 Windows 消息循环的工具来检测用户何时访问银行特定 URL。如果检测到，该工具随后模拟按键打开开发者控制台或选择地址栏，从剪贴板粘贴恶意 JavaScript 并执行它——从而能够操纵浏览器内的内容，例如在交易期间替换银行账号。(Citation: BleepingComputer BackSwap)(Citation: welivesecurity BackSwap) 攻击者还使用恶意 USB 设备来模拟按键以启动 PowerShell，从而导致从攻击者控制的服务器下载并执行恶意软件。(Citation: BleepingComputer USB)