T1218.003: CMSTP

摘要

攻击者可能滥用 CMSTP 代理执行恶意代码。Microsoft Connection Manager Profile Installer (CMSTP.exe) 是一个用于安装 Connection Manager 服务配置文件的命令行程序。(Citation: Microsoft Connection Manager Oct 2009) CMSTP.exe 接受安装信息文件 (INF) 作为参数，并安装用于远程访问连接的服务配置文件。 攻击者可能向 CMSTP.exe 提供感染了恶意命令的 INF 文件。(Citation: Twitter CMSTP Usage Jan 2018) 与 [Regsvr32](https://attack.mitre.org/techniques/T1218/010) / “Squiblydoo” 类似，CMSTP.exe 可能被滥用从远程服务器加载和执行 DLL (Citation: MSitPros CMSTP Aug 2017) 和/或 COM scriptlet (SCT)。(Citation: Twitter CMSTP Jan 2018)(Citation: GitHub Ultimate AppLocker Bypass List)(Citation: Endurant CMSTP July 2018) 此执行还可能绕过 AppLocker 和其他应用程序控制防御，因为 CMSTP.exe 是可能由 Microsoft 签名的合法二进制文件。 CMSTP.exe 还可被滥用通过自动提升的 COM 接口来[绕过用户账户控制](https://attack.mitre.org/techniques/T1548/002)，并从恶意 INF 执行任意命令。(Citation: MSitPros CMSTP Aug 2017)(Citation: GitHub Ultimate AppLocker Bypass List)(Citation: Endurant CMSTP July 2018)