ATT&CK v10版本战术介绍—持久化（一）

一、引言

在前几期文章中我们介绍了ATT&CK中侦察、资源开发、初始访问、执行战术知识，本期我们为大家介绍ATT&CK 14项战术中持久化战术前6项技术，后续会陆续介绍持久化战术其他技术内容，敬请关注。

二、ATT&CK v10简介

MITRE ATT&CK 是一个全球可访问的基于现实世界观察的攻击者战术和技术知识库。ATT&CK 知识库被用作在私营部门、政府以及网络安全产品和服务社区中开发特定威胁模型和方法的基础。

ATT&CK v10更新了适用于企业、移动设备和 ICS（工业控制系统）框架的技术、组和软件。最大的变化是在企业 ATT&CK 中增加了一组新的数据源和数据组件对象，这是对 ATT&CK v9 中发布的 ATT&CK 数据源名称更改的补充。在 ATT&CK v10 中更新的内容汇总了有关数据源的这些信息，同时将它们构建为新的 ATT&CK 数据源对象。

ATT&CK v10 for Enterprise包含14个战术、188个技术、379个子技术、129个组织、638个软件，一共包括38类数据源。数据源对象具有数据源的名称以及关键细节和元数据，包括 ID、定义、可以收集它的位置（收集层）、可以在什么平台上找到它，突出显示构成数据源的相关值/属性的组件。ATT&CK v10 中的数据组件分析每个亮点映射到各种（子）技术，这些技术可以用该特定数据检测到。在个别（子）技术上，数据源和组件已从页面顶部的元数据框重新定位，以与检测内容并置。这些数据源可用于 Enterprise ATT&CK 的所有平台，包括最新添加的涵盖映射到 PRE 平台技术的开源情报 (OSINT) 相关数据源。

ATT&CK战术全景图（红框为持久化战术）

三、持久化战术

3.1 概述

持久化包括攻击者用来在重新启动、更改凭据和其他中断期间保持对系统的访问的技术，例如替换或劫持合法代码或添加启动代码。

持久化战术包括19种技术，本期为大家逐一介绍前6种技术。

3.2 操纵账户（T1098）

攻击者可能会操纵帐户以保持对受害者系统的访问，包括保留攻击者对已泄露帐户的访问权限的任何操作，例如修改凭据，权限组或密码，提权等。

操纵账户技术包括5个子技术，介绍如下：

3.2.1 添加云凭证（T1098.001）

攻击者可将控制的凭据添加到云帐户中，以维持对受害者帐户和环境中实例的持续访问。

攻击者可向邮箱添加权限，以保持对攻击者已控制的电子邮件帐户的持久访问。

攻击者还可通过单个文件夹权限或角色分配邮箱文件夹权限，利用租户中的任何其他帐户来保持对目标用户的邮件文件夹的持久访问。

3.2.3 添加云角色（T1098.003）

攻击者可以向控制的云帐户添加其他角色或权限，以保持对租户的持久访问。此帐户修改可在创建帐户或其他恶意帐户活动之后立即进行,攻击者也可以修改他们已经入侵的现有有效帐户。

3.2.4 SSH授权密钥（T1098.004）

攻击者可以修改SSH密钥文件以保持对受害者主机的持久访问。Linux发行版和macOS通常使用基于密钥的身份验证来保护SSH会话以进行远程管理。

攻击者可以直接使用脚本或shell命令修改SSH密钥文件。在云环境中，攻击者可通过命令行界面或rest API修改特定虚拟机的SSH密钥文件。如果攻击者向特权较高的用户添加密钥，则可能会在目标虚拟机上实现特权升级。

3.2.5 设备注册（T1098.005）

攻击者可将设备注册到攻击者控制的帐户。设备可以在多因素身份验证系统中注册，该系统处理对网络的身份验证，或者在设备管理系统中注册，该系统处理设备访问和合规性。

3.2.6 缓解措施

3.2.7 检测

3.3 利用BITS服务（T1197）

攻击者利用BITS任务来持久执行代码和各种后台任务。BITS利用组件对象模型(COM)公开的低带宽异步文件传输机制。BITS通常由更新程序和其他在后台运行的应用程序使用，而不会中断其他联网应用程序。文件传输任务作为BITS任务实现，BITS任务包含一个或多个文件操作的队列。

可以通过PowerShell和BITSAdmin工具访问创建和管理BITS任务的界面。

攻击者利用BITS下载，执行，运行并清理恶意代码。BITS任务无需新文件或注册表修改，由主机防火墙放行。BITS还可以通过创建长期任务或调用任意程序来保持持久性。

BITS上传功能也可用于过滤协议。

3.3.1 缓解措施

3.3.2 检测

3.4 利用自动启动执行引导或登录（T1547）

攻击者可在系统登录期间自动执行程序，以保持持久性或获得更高特权。这些机制可能包括自动执行指定目录（如Windows注册表）的程序。

利用自动启动执行引导或登录技术包含14项子技术，介绍如下：

3.4.1 注册表运行项/启动文件夹（T1547.001）

攻击者可以通过将程序添加到启动文件夹或使用注册表运行项引用它来实现持久性。在注册表或启动文件夹中添加条目将导致引用的程序在用户登录时执行。这些程序将在用户的上下文下执行，并具有帐户的相关权限级别。

攻击者可以使用这些配置执行恶意软件（如远程访问工具），以通过系统重新启动来保持持久性。攻击者也可以使用伪装来使注册表项看起来好像它们与合法程序相关联。

3.4.2 身份验证包（T1547.002）

当系统启动时，攻击者可能会利用身份验证包来执行Dll。Windows身份验证包Dll由本地安全机构(LSA)进程在系统启动时加载。它们为操作系统的多个登录进程和多个安全协议提供支持。

攻击者可以使用LSA身份验证包提供的自动启动机制进行持久化，方法是在windows注册表位置HKLM\SYSTEM\CurrentControlSet\Control\Lsa\中放置对二进制文件的引用，其键值为"Authentication Packages"=<target binary>。然后，系统将在加载身份验证包时执行二进制文件。

3.4.3 时间提供程序（T1547.003）

当系统启动时，攻击者可能会利用时间提供程序来执行Dll。Windows时间服务(W32Time)启用跨域和域内的时间同步。W32Time时间提供程序负责从硬件/网络资源中检索时间戳，并将这些值输出到其他网络客户端。时间提供程序实现为在HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\W32Time\TimeProviders\的子项中注册的动态链接库(Dll)。时间提供程序管理器由服务控制管理器指导，在系统启动或更改参数时加载并启动程序。

攻击者可能会利用此体系结构来建立持久性，特别是通过注册并启用恶意DLL作为时间提供程序。时间提供程序注册需要管理员权限，执行将在本地服务帐户的上下文中运行。

3.4.4 Winlogon帮助程序DLL（T1547.004）

当用户登录时，攻击者可能会利用Winlogon的功能来执行Dll或可执行文件。温洛贡。Winlogon.exe是负责登录/注销时的操作以及由Ctrl-Alt-Delete触发的安全注意序列（SAS）的Windows组件。HKLM\Software[\Wow6432Node\]\Microsoft\Windows NT\CurrentVersion\Winlogon\和HKCU\Software\Microsoft\Windows NT\CurrentVersion\Winlogon\中的注册表项用于管理支持Winlogon的其他帮助程序和功能。

对这些注册表项的恶意修改可能会导致Winlogon加载和执行恶意Dll或可执行文件。具体来说，已知以下子项可能容易被利用：

Winlogon\Notify-指向处理Winlogon事件的通知包Dll;

Winlogon\Userinit-指向用户登录时执行的用户初始化程序userinit.exe;

Winlogon\Shell-指向用户登录时执行的系统shell explorer.exe;

攻击者可能会利用这些特性来重复执行恶意代码并建立持久性。

3.4.5 安全支持提供程序（T1547.005）

当系统启动时，攻击者可能会利用安全支持提供程序(Ssp)来执行Dll。Windows SSP Dll在系统启动时加载到本地安全机构(LSA)进程中。一旦加载到LSA中，SSP Dll就可以访问存储在Windows中的加密和明文密码，例如任何登录用户的域密码或智能卡Pin。

SSP配置存储在两个注册表项中：HKLM\SYSTEM\CurrentControlSet\Control\Lsa\Security Packages和HKLM\SYSTEM\CurrentControlSet\Control\Lsa\OSConfig\Security Packages。攻击者可能会修改这些注册表项以添加新的Ssp，这些Ssp将在下次系统引导时或调用AddSecurityPackage Windows API函数时加载。

3.4.6 内核模块和扩展（T1547.006）

攻击者可能会修改内核以在系统引导时自动执行程序。可加载内核模块（LKMs）是可以根据需要加载和卸载到内核中的代码片段。它们扩展了内核的功能，而不需要重新启动系统。

恶意使用时，LKMs可以是一种以最高操作系统特权（环0）运行的内核模式Rootkit。功能包括：隐藏文件，进程和网络活动，日志篡改，提供身份验证的后门，允许对非特权用户进行root访问等。

3.4.7 重新开放申请（T1547.007）

攻击者可以修改plist文件，以便在用户登录时自动运行应用程序。当用户通过macOS图形用户界面(GUI)注销或重新启动时，会向用户提供一个提示，其中包含"重新登录时重新打开windows"的复选框。选中后，当前打开的所有应用程序都会添加到名为com的属性列表文件中。此文件中列出的应用程序会在用户下次登录时自动重新打开。

攻击者可以通过添加恶意应用程序路径来建立持久性。plist文件用于在用户登录时执行有效载荷。

3.4.8 LSASS驱动程序（T1547.008）

攻击者可以修改或添加LSASS驱动程序以获得对受损系统的持久性。Windows安全子系统是一组组件，可管理和执行计算机或域的安全策略。LSA是负责本地安全策略和用户身份验证的主要组件，LSA包括与各种其他安全功能相关联的多个动态链接库(Dll)，所有这些都在LSA子系统服务(LSASS)的上下文中运行。

攻击者可以LSASS驱动程序为目标以获得持久性。通过替换或添加非法驱动程序，通过LSA操作来持续执行恶意载荷。

3.4.9 快捷方式修改（T1547.009）

攻击者可以创建或修改可以在系统引导或用户登录期间执行程序的快捷方式。

攻击者可利用启动文件夹中的快捷方式来执行他们的工具并实现持久性。攻击者可以编辑目标路径或完全替换现有的快捷方式，以便他们的恶意软件将被执行，而不是预期的合法程序。

3.4.10 端口监视器（T1547.010）

攻击者可以使用端口监视器在系统启动期间运行恶意DLL，以获得持久性或特权升级。

攻击者可以使用此技术在启动时加载恶意代码，这些代码将在系统重新启动时持续存在并执行。

3.4.11 打印处理器（T1547.012）

攻击者可能会利用打印处理器在系统启动期间运行恶意DLL以实现持久性或特权升级。打印处理器是由打印后台处理程序服务spoolsv.exe在启动过程中加载的DLL。

3.4.12 XDG自动启动条目（T1547.013）

攻击者可以修改XDG自动启动条目以在系统启动期间执行程序或命令，通过在桌面环境启动期间执行恶意命令和有效负载（如远程访问工具）来保持持久性。攻击者也可以使用伪装来使XDG自动启动条目看起来好像它们与合法程序相关联。

3.4.13 活动设置（T1547.014）

攻击者可以通过将注册表项添加到本地计算机的活动设置来实现持久性。Active Setup是一种Windows机制，用于在用户登录时执行程序。存储在注册表项中的值将在用户登录到计算机后执行。

攻击者可能会通过在HKLM\SOFTWARE\Microsoft\Active Setup\Installed Components\下创建密钥并为StubPath设置恶意值来利用活动设置，该值将作为用户登录计算机时将执行的程序。

3.4.14 登录项目（T1547.015）

攻击者可在用户登录时添加登录项执行，以获得持久性或权限升级。登录项是用户登录时自动启动的应用程序、文档、文件夹或服务器连接，可以通过共享文件列表或服务管理框架添加登录项目。共享文件列表登录项可以使用脚本语言设置，而服务管理框架使用API调用SMLoginItemSetEnabled。

3.4.15 缓解措施

3.4.16 检测 

3.5 利用初始化脚本引导或登录（T1037）

攻击者可以通过登录初始化时自动执行脚本来建立持久性。初始化脚本可用于执行管理功能，包括执行其他程序或将信息发送到内部日志记录服务器。

攻击者可使用脚本在单个系统上保持持久性。根据登录脚本的访问配置，可能需要本地凭据或管理员帐户。

由于某些启动或登录初始化脚本要以更高的权限运行，因此攻击者也可以升级其权限。

利用初始化脚本引导或登录包含5项子技术，介绍如下：

3.5.1 登录脚本(Windows)（T1037.001）

攻击者在登录初始化时自动执行Windows登录脚本来建立持久性。Windows允许特定用户或用户组登录系统时运行登录脚本，这是通过将脚本路径添加到HKCU\Environment\UserInitMprLogonScript注册表项来完成的。

3.5.2 登录钩子（T1037.002）

攻击者可以使用登录钩子来建立在用户登录时执行的持久性。登录钩子是一个plist文件，它指向一个特定的脚本，在用户登录时以root权限执行。Plist文件位于/Library/Preferences/com中，需要管理员权限才能修改或创建钩子。

攻击者可以在com中添加或插入恶意脚本的路径，恶意脚本将在下次用户登录时执行。如果登录钩子已经存在，攻击者可以向现有的登录钩子添加其他命令。一个系统上一次只能有一个登录和注销钩子。

3.5.3 网络登录脚本（T1037.003）

攻击者可以使用在登录初始化时自动执行的网络登录脚本来建立持久性。可以使用Active Directory或组策略对象分配网络登录脚本。这些登录脚本以分配给它们的用户的特权运行，根据登录脚本的访问配置，可能需要本地凭据或管理员帐户。

3.5.4 RC脚本（T1037.004）

攻击者可以通过修改RC脚本来建立持久性，RC脚本是在Unix样系统的启动过程中执行的，这些文件允许系统管理员以不同的运行级别映射和启动自定义服务。RC脚本需要root权限才能修改。

攻击者可以向RC.Local，rc.common和其他RC脚本添加恶意二进制路径或命令，重新启动后，系统以root身份执行脚本的内容，从而产生持久性。

3.5.5 启动项目（T1037.005）

攻击者可在登录初始化时自动执行启动项来建立持久性。启动项在启动过程的最后阶段执行，并包含shell脚本或其他可执行文件以及启动项执行顺序的配置信息。

3.5.6 缓解措施

3.5.7 检测

3.6 添加浏览器扩展插件（T1176）

攻击者可能会利用互联网浏览器扩展插件来建立对受害者系统的持久访问。

恶意扩展插件可以通过伪装成合法插件安装到浏览器中，根据浏览器的不同，攻击者还可以操纵扩展的更新url从攻击者控制的服务器安装更新，或者操纵移动配置文件以静默方式安装其他扩展。也有僵尸网络通过恶意Chrome扩展使用持久后门的例子。

3.6.1 缓解措施

3.6.2 检测

3.7 篡改客户端软件（T1554）

攻击者可以修改客户端软件二进制文件以建立对系统的持久访问。常见的客户端软件类型是SSH客户端、FTP客户端、电子邮件客户端和web浏览器。攻击者可以复制客户端软件的源代码，添加后门，为目标编译，并用后门替换合法的应用程序二进制文件。由于这些应用程序可能常规由用户执行，因此攻击者可以利用它来持久访问主机。

3.7.1 缓解措施

3.7.2 检测

​

四、总结

本期主要介绍了持久化战术前6项子技术理论知识，下期将给大家介绍持久化战术其他子技术。敬请关注。

相关分享：

​​ATT&CK v10版本战术介绍执行（下篇）​​

​​ATT&CK v10版本战术介绍-执行（上篇）​​

​​ATT&CK v10版本战术介绍-初始访问​​