T1688: 安全模式启动
摘要
攻击者可能滥用 Windows 安全模式来禁用端点防御。安全模式以有限的驱动程序和服务集启动 Windows 操作系统。在安全模式下启动 Windows 后，第三方安全软件（如端点检测与响应（EDR）工具）可能不会启动。安全模式有两个版本：安全模式和安全模式（带网络）。在安全模式启动后可以启动额外的服务。(Citation: Microsoft Windows Startup Settings)(Citation: Sophos Safe Mode Boot) 攻击者可能滥用安全模式来禁用可能不会随有限启动而启动的端点防御。可以通过修改引导配置数据（BCD）存储（管理引导应用程序设置的文件）来强制主机在下次重启后进入安全模式。(Citation: Microsoft bcdedit) 攻击者还可能通过修改相关注册表值（即[修改注册表](https://attack.mitre.org/techniques/T1112)）将他们的恶意应用程序添加到在安全模式下启动的最小服务列表中。恶意[组件对象模型](https://attack.mitre.org/techniques/T1559/001)（COM）对象也可能被注册并在安全模式下加载。(Citation: CyberArk Labs Safe Mode 2016)(Citation: Cybereason safe mode boot)(Citation: BleepingComputer REvil 2021)
来源归属
来源：MITRE ATT&CK · 置信度：high
平台
- Windows
战术
Defense Impairment
参考来源
- https://attack.mitre.org/techniques/T1688
- https://www.bleepingcomputer.com/news/security/revil-ransomware-has-a-new-windows-safe-mode-encryption-mode/
- https://www.sophos.com/en-us/blog/snatch-ransomware-reboots-pcs-into-safe-mode-to-bypass-protection
- https://www.cybereason.com/blog/research/medusalocker-ransomware
- https://support.microsoft.com/en-us/windows/windows-startup-settings-1af6ec8c-4d4a-4b23-adb7-e76eef0b847f
- https://learn.microsoft.com/en-us/windows-server/administration/windows-commands/bcdedit
- https://www.cyberark.com/resources/blog/cyberark-labs-from-safe-mode-to-domain-compromise