T1218.004: InstallUtil

摘要

攻击者可能使用 InstallUtil 通过受信任的 Windows 实用工具代理执行代码。InstallUtil 是一个命令行实用工具，允许通过执行 .NET 二进制文件中指定的特定安装程序组件来安装和卸载资源。(Citation: MSDN InstallUtil) InstallUtil 二进制文件还可能由 Microsoft 数字签名，位于 Windows 系统上的 .NET 目录中：<code>C:\Windows\Microsoft.NET\Framework\v<version>\InstallUtil.exe</code> 和 <code>C:\Windows\Microsoft.NET\Framework64\v<version>\InstallUtil.exe</code>。 InstallUtil 还可用于通过二进制文件内执行标记为 <code>[System.ComponentModel.RunInstaller(true)]</code> 特性（attribute）的类的特性来绕过应用程序控制。(Citation: LOLBAS Installutil)