Куда я попал?

SECURITM это SGRC система, автоматизирующая процессы в службах информационной безопасности. SECURITM помогает построить и управлять ИСПДн, КИИ, ГИС, СМИБ/СУИБ, банковскими системами защиты.
А еще SECURITM это место для обмена опытом и наработками для служб безопасности.

Подробнее

Boot or Logon Autostart Execution: Port Monitors

Other sub-techniques of Boot or Logon Autostart Execution (15)

ID	Name
.001	Registry Run Keys / Startup Folder
.002	Authentication Package
.003	Time Providers
.004	Winlogon Helper DLL
.005	Security Support Provider
.006	Kernel Modules and Extensions
.007	Re-opened Applications
.008	LSASS Driver
.009	Shortcut Modification
.010	Port Monitors
.011	Plist Modification
.012	Print Processors
.013	XDG Autostart Entries
.014	Active Setup
.015	Login Items

Adversaries may use port monitors to run an adversary supplied DLL during system boot for persistence or privilege escalation. A port monitor can be set through the AddMonitor API call to set a DLL to be loaded at startup.(Citation: AddMonitor) This DLL can be located in C:\Windows\System32 and will be loaded by the print spooler service, spoolsv.exe, on boot. The spoolsv.exe process also runs under SYSTEM level permissions.(Citation: Bloxham) Alternatively, an arbitrary DLL can be loaded if permissions allow writing a fully-qualified pathname for that DLL to HKLM\SYSTEM\CurrentControlSet\Control\Print\Monitors. The Registry key contains entries for the following: * Local Port * Standard TCP/IP Port * USB Monitor * WSD Port Adversaries can use this technique to load malicious code at startup that will persist on system reboot and execute as SYSTEM.

ID: T1547.010

Sub-technique of: T1547

Tactic(s): Persistence, Privilege Escalation

Platforms: Windows

Permissions Required: Administrator, SYSTEM

Data Sources: File: File Creation, Module: Module Load, Process: OS API Execution, Windows Registry: Windows Registry Key Modification

Version: 1.1

Created: 24 Jan 2020

Last Modified: 20 Apr 2022

Detection

Monitor process API calls to AddMonitor.(Citation: AddMonitor) Monitor DLLs that are loaded by spoolsv.exe for DLLs that are abnormal. New DLLs written to the System32 directory that do not correlate with known good software or patching may be suspicious. Monitor Registry writes to HKLM\SYSTEM\CurrentControlSet\Control\Print\Monitors. Run the Autoruns utility, which checks for this Registry key as a persistence mechanism.(Citation: TechNet Autoruns)

References

Связанные риски

Риск	Связи
Закрепление злоумышленника в ОС из-за возможности загрузки произвольных библиотек Port Monitors в ОС Windows Повышение привилегий НСД
Повышение привилегий в ОС из-за возможности загрузки произвольных библиотек Port Monitors в ОС Windows Повышение привилегий Целостность

Каталоги

Мы используем cookie-файлы, чтобы получить статистику, которая помогает нам улучшить сервис для вас с целью персонализации сервисов и предложений. Вы может прочитать подробнее о cookie-файлах или изменить настройки браузера. Продолжая пользоваться сайтом, вы даёте согласие на использование ваших cookie-файлов и соглашаетесь с Политикой обработки персональных данных.