T1546.009: AppCert DLLs

摘要

攻击者可能通过执行由加载到进程中的 AppCert DLL 触发的恶意内容来建立持久化和/或提升权限。在 <code>HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\Session Manager\</code> 下的 <code>AppCertDLLs</code> 注册表键中指定的动态链接库（DLL）会被加载到每个调用普遍使用的应用程序编程接口（API）函数 <code>CreateProcess</code>、<code>CreateProcessAsUser</code>、<code>CreateProcessWithLoginW</code>、<code>CreateProcessWithTokenW</code> 或 <code>WinExec</code> 的进程中。(Citation: Elastic Process Injection July 2017) 与[进程注入](https://attack.mitre.org/techniques/T1055)类似，此值可被滥用，通过使恶意 DLL 在计算机上单独的进程上下文中加载和运行来获得提升的权限。恶意 AppCert DLL 也可能通过被 API 活动持续触发来提供持久化。