T1546.002: 屏幕保护程序

摘要

攻击者可能通过执行由用户不活动触发的恶意内容来建立持久化。屏幕保护程序是在可配置的用户不活动时间后执行的程序，由扩展名为 .scr 的可移植可执行文件（PE）组成。(Citation: Wikipedia Screensaver) Windows 屏幕保护程序应用程序 scrnsave.scr 位于 <code>C:\Windows\System32\</code>，在 64 位 Windows 系统上位于 <code>C:\Windows\sysWOW64\</code>，以及基础 Windows 安装附带的屏幕保护程序。 以下屏幕保护程序设置存储在注册表（<code>HKCU\Control Panel\Desktop\</code>）中，可被操纵以实现持久化： * <code>SCRNSAVE.exe</code> - 设置为恶意 PE 路径 * <code>ScreenSaveActive</code> - 设置为 '1' 以启用屏幕保护程序 * <code>ScreenSaverIsSecure</code> - 设置为 '0' 以不要求密码解锁 * <code>ScreenSaveTimeout</code> - 设置屏幕保护程序执行前的用户不活动超时 攻击者可以利用屏幕保护程序设置，通过将屏幕保护程序设置为在用户不活动一定时间后运行恶意软件来维持持久化。(Citation: ESET Gazer Aug 2017)