T1137.001: Office 模板宏

摘要

攻击者可能滥用 Microsoft Office 模板，在已沦陷系统上获得持久化。Microsoft Office 包含作为常见 Office 应用程序一部分的模板，用于自定义样式。每次应用程序启动时都会使用应用程序内的基础模板。(Citation: Microsoft Change Normal Template) Office Visual Basic for Applications(VBA)宏(Citation: MSDN VBA in Office)可以插入到基础模板中，并用于在相应 Office 应用程序启动时执行代码，以获得持久化。Word 和 Excel 的示例都已被发现并公开。默认情况下，Word 有一个 Normal.dotm 模板，可以修改以包含恶意宏。Excel 默认不创建模板文件，但可以添加一个会在启动时自动加载的模板。(Citation: enigma0x3 normal.dotm)(Citation: Hexacorn Office Template Macros)共享模板也可以从远程位置存储和拉取。(Citation: GlobalDotName Jun 2019) Word Normal.dotm 位置：<br> <code>C:\Users\&lt;username&gt;\AppData\Roaming\Microsoft\Templates\Normal.dotm</code> Excel Personal.xlsb 位置：<br> <code>C:\Users\&lt;username&gt;\AppData\Roaming\Microsoft\Excel\XLSTART\PERSONAL.XLSB</code> 攻击者还可能通过劫持应用程序的搜索顺序来更改基础模板的位置使其指向自己的模板，例如 Word 2016 将首先在 <code>C:\Program Files (x86)\Microsoft Office\root\Office16\</code> 下查找 Normal.dotm，或者通过修改 GlobalDotName 注册表键。通过修改 GlobalDotName 注册表键，攻击者可以指定用于模板的任意位置、文件名和文件扩展名，这些模板将在应用程序启动时加载。要滥用 GlobalDotName，攻击者可能首先需要将该模板注册为受信任文档，或将其放置在受信任位置。(Citation: GlobalDotName Jun 2019) 根据系统或企业关于宏使用的安全策略，攻击者可能需要启用宏才能不受限制地执行。