T1053.002: At

摘要

攻击者可能滥用 [at](https://attack.mitre.org/software/S0110) 实用工具执行任务计划，以实现恶意代码的初始执行或反复执行。在 Windows、Linux 和 macOS 中，[at](https://attack.mitre.org/software/S0110) 实用工具都是一个可执行程序，用于在指定时间和日期计划任务。尽管在 Windows 环境中它已被弃用并由 [Scheduled Task](https://attack.mitre.org/techniques/T1053/005) 的 [schtasks](https://attack.mitre.org/software/S0111) 取代，但使用 [at](https://attack.mitre.org/software/S0110) 需要任务计划程序服务正在运行，且用户须以本地 Administrators 组成员的身份登录。除了显式运行 `at` 命令外，攻击者还可以直接利用 [Windows Management Instrumentation](https://attack.mitre.org/techniques/T1047) 的 `Win32_ScheduledJob` WMI 类来使用 [at](https://attack.mitre.org/software/S0110) 计划任务。(Citation: Malicious Life by Cybereason) 在 Linux 和 macOS 上，超级用户以及被添加到 <code>at.allow</code> 文件的任何用户都可以调用 [at](https://attack.mitre.org/software/S0110)。如果 <code>at.allow</code> 文件不存在，则会检查 <code>at.deny</code> 文件。凡未列于 <code>at.deny</code> 中的用户名均允许调用 [at](https://attack.mitre.org/software/S0110)。如果 <code>at.deny</code> 存在且为空，则允许全局使用 [at](https://attack.mitre.org/software/S0110)。如果两个文件都不存在（这通常是默认情况），则只有超级用户可以使用 [at](https://attack.mitre.org/software/S0110)。(Citation: Linux at) 攻击者可能使用 [at](https://attack.mitre.org/software/S0110) 在系统启动时或按计划执行程序以实现 [Persistence](https://attack.mitre.org/tactics/TA0003)。[at](https://attack.mitre.org/software/S0110) 还可被滥用来进行远程 [Execution](https://attack.mitre.org/tactics/TA0002)，作为 [Lateral Movement](https://attack.mitre.org/tactics/TA0008) 的一部分，和/或在指定账户（如 SYSTEM）的上下文下运行进程。 在 Linux 环境中，攻击者还可能滥用 [at](https://attack.mitre.org/software/S0110) 通过使用任务生成交互式系统 shell 或运行系统命令来突破受限环境。同样，如果该二进制文件允许通过 <code>sudo</code> 以超级用户身份运行，[at](https://attack.mitre.org/software/S0110) 也可能被用于 [Privilege Escalation](https://attack.mitre.org/tactics/TA0004)。(Citation: GTFObins at)