T1218.014: MMC

摘要

攻击者可能滥用 mmc.exe 代理执行恶意 .msc 文件。Microsoft Management Console (MMC) 是一个可能由 Microsoft 签名的二进制文件，可在其 GUI 或命令提示符中以多种方式使用。(Citation: win_mmc)(Citation: what_is_mmc) MMC 可用于创建、打开和保存包含 Microsoft 创建的管理工具（称为管理单元 snap-in）的自定义控制台。这些管理单元可用于在本地或远程管理 Windows 系统。MMC 还可用于打开 Microsoft 创建的 .msc 文件来管理系统配置。(Citation: win_msc_files_overview) 例如，<code>mmc C:\Users\foo\admintools.msc /a</code> 将在作者模式下打开一个自定义的已保存控制台 msc 文件。(Citation: win_mmc) 另一个常见示例是 <code>mmc gpedit.msc</code>，它将打开组策略编辑器应用程序窗口。 攻击者可能使用 MMC 命令执行恶意任务。例如，<code>mmc wbadmin.msc delete catalog -quiet</code> 会在不向用户提示的情况下删除系统上的备份目录（即[抑制系统恢复](https://attack.mitre.org/techniques/T1490)）（注意：<code>wbadmin.msc</code> 可能仅在 Windows Server 操作系统上默认存在）。(Citation: win_wbadmin_delete_catalog)(Citation: phobos_virustotal) 攻击者还可能滥用 MMC 执行恶意 .msc 文件。例如，攻击者可能首先创建一个恶意注册表类标识符 (CLSID) 子键，该子键唯一标识一个[组件对象模型](https://attack.mitre.org/techniques/T1559/001) 类对象。(Citation: win_clsid_key) 然后，攻击者可能创建带“链接到 Web 地址”管理单元的自定义控制台，该管理单元链接到恶意 CLSID 子键。(Citation: mmc_vulns) 一旦 .msc 文件被保存，攻击者可以使用以下命令调用恶意 CLSID 载荷：<code>mmc.exe -Embedding C:\path\to\test.msc</code>。(Citation: abusing_com_reg)