T1564.010: 进程参数欺骗

摘要

攻击者可能试图通过覆写进程内存来隐藏进程命令行参数。进程命令行参数存储在进程环境块（PEB）中，PEB 是 Windows 用于存储有关进程的各种信息（或供进程使用）的数据结构。PEB 包含在执行进程时被引用的进程命令行参数。当创建进程时，监控进程创建的防御工具/传感器可能从 PEB 中获取进程参数。(Citation: Microsoft PEB 2021)(Citation: Xpn Argue Like Cobalt 2019) 攻击者可能操纵进程 PEB 以逃避防御。例如，可以滥用[进程镂空](https://attack.mitre.org/techniques/T1055/012)以良性参数将进程生成为挂起状态。在进程被生成且 PEB 已初始化（并且进程信息可能已被工具/传感器记录）之后，攻击者可能覆写 PEB 以修改命令行参数（例如使用[原生 API](https://attack.mitre.org/techniques/T1106) <code>WriteProcessMemory()</code> 函数），然后以恶意参数恢复进程执行。(Citation: Cobalt Strike Arguments 2019)(Citation: Xpn Argue Like Cobalt 2019)(Citation: Nviso Spoof Command Line 2020) 攻击者还可能以恶意命令行参数执行进程，然后用可能绕过后续进程内存分析的良性参数修补内存。(Citation: FireEye FiveHands April 2021) 此行为还可能与其他技巧（例如[父进程 PID 欺骗](https://attack.mitre.org/techniques/T1134/004)）结合使用，以操纵或进一步逃避基于进程的检测。