T1547.005: 安全支持提供程序

摘要

攻击者可能滥用安全支持提供程序（SSP）在系统引导时执行 DLL。Windows SSP DLL 在系统启动时被加载到本地安全机构（LSA）进程中。一旦加载到 LSA 中，SSP DLL 就可以访问存储在 Windows 中的加密和明文密码，例如任何已登录用户的域密码或智能卡 PIN 码。 SSP 配置存储在两个注册表键中：<code>HKLM\SYSTEM\CurrentControlSet\Control\Lsa\Security Packages</code> 和 <code>HKLM\SYSTEM\CurrentControlSet\Control\Lsa\OSConfig\Security Packages</code>。攻击者可能修改这些注册表键以添加新的 SSP，新的 SSP 将在系统下次引导时加载，或在调用 AddSecurityPackage Windows API 函数时加载。(Citation: Graeber 2014)