T1218.002: 控制面板

摘要

攻击者可能滥用 control.exe 代理执行恶意载荷。Windows 控制面板进程二进制文件 (control.exe) 负责处理控制面板项的执行，控制面板项是允许用户查看和调整计算机设置的实用工具。 控制面板项是已注册的可执行 (.exe) 或控制面板 (.cpl) 文件，后者实际上是重命名的动态链接库 (.dll) 文件，导出 <code>CPlApplet</code> 函数。(Citation: Microsoft Implementing CPL)(Citation: TrendMicro CPL Malware Jan 2014) 为便于使用，控制面板项通常在注册并加载到控制面板后，包含可供用户使用的图形菜单。(Citation: Microsoft Implementing CPL) 控制面板项可以直接从命令行执行、通过应用程序编程接口 (API) 调用以编程方式执行，或仅通过双击文件执行。(Citation: Microsoft Implementing CPL)(Citation: TrendMicro CPL Malware Jan 2014)(Citation: TrendMicro CPL Malware Dec 2013) 恶意控制面板项可以通过[网络钓鱼](https://attack.mitre.org/techniques/T1566)活动投递 (Citation: TrendMicro CPL Malware Jan 2014)(Citation: TrendMicro CPL Malware Dec 2013)，或作为多阶段恶意软件的一部分执行。(Citation: Palo Alto Reaver Nov 2017) 控制面板项，特别是 CPL 文件，还可能绕过应用程序和/或文件扩展名允许列表。 攻击者还可能将恶意 DLL 文件 (.dll) 重命名为控制面板文件扩展名 (.cpl)，并将它们注册到 <code>HKCU\Software\Microsoft\Windows\CurrentVersion\Control Panel\Cpls</code>。即使这些已注册的 DLL 不符合 CPL 文件规范且不导出 <code>CPlApplet</code> 函数，它们也会在执行控制面板时通过其 <code>DllEntryPoint</code> 被加载和执行。未导出 <code>CPlApplet</code> 的 CPL 文件不可直接执行。(Citation: ESET InvisiMole June 2020)