T1112: 修改注册表

摘要

攻击者可能作为各种其他技术的一部分与 Windows 注册表交互，以协助防御规避、持久化和执行。 对注册表特定区域的访问取决于账户权限，某些键需要管理员级别的访问权限。内置的 Windows 命令行实用程序 [Reg](https://attack.mitre.org/software/S0075) 可用于本地或远程修改注册表。(Citation: Microsoft Reg)其他工具(如远程访问工具)也可能包含通过 Windows API 与注册表交互的功能。 注册表可能被修改，以通过 [Obfuscated Files or Information](https://attack.mitre.org/techniques/T1027) 隐藏配置信息或恶意载荷。(Citation: Unit42 BabyShark Feb 2019)(Citation: Avaddon Ransomware 2021)(Citation: Microsoft BlackCat Jun 2022)(Citation: CISA Russian Gov Critical Infra 2018)注册表也可能被修改以削弱防御，例如为所有 Microsoft Office 产品启用宏、在不通知用户的情况下允许权限提升、增加允许的出站请求最大数量，和/或修改系统以在内存中存储明文凭证。(Citation: CISA LockBit 2023)(Citation: Unit42 BabyShark Feb 2019) 远程系统的注册表可能被修改，以作为横向移动的一部分协助文件执行。这要求目标系统上运行远程注册表服务。(Citation: Microsoft Remote)通常需要 [Valid Accounts](https://attack.mitre.org/techniques/T1078)，以及对远程系统 [SMB/Windows Admin Shares](https://attack.mitre.org/techniques/T1021/002) 的访问权限，用于 RPC 通信。 最后，注册表修改还可能包括隐藏键的操作，例如在键名前添加空字符，这会在通过 [Reg](https://attack.mitre.org/software/S0075) 或使用 Win32 API 的其他实用程序读取时导致错误和/或被忽略。(Citation: Microsoft Reghide NOV 2006)攻击者可能滥用这些伪隐藏键来隐藏用于维持持久化的载荷/命令。(Citation: TrendMicro POWELIKS AUG 2014)(Citation: SpectorOps Hiding Reg Jul 2017)