
Windows Update客户端刚刚被添加到攻击者可用于在Windows系统上执行恶意代码的远程二进制文件(LoLBins)列表。
LoLBins是Microsoft签名的可执行文件(预先安装或下载),在下载,安装或执行恶意代码时,威胁行为者可能会滥用它们来逃避检测。
攻击者还可以使用它们来绕过Windows用户帐户控制(UAC)或Windows Defender应用程序控制(WDAC)并在已经受到威胁的系统上获得持久性。
使用恶意DLL执行恶意代码
WSUS / Windows Update客户端(wuauclt)是位于%windir%\ system32 \处的实用程序,可为用户从命令行提供对Windows Update Agent某些功能的部分控制。
它允许检查新的更新并安装它们,而不必使用Windows用户界面,而是从命令提示符窗口触发它们。
使用/ResetAuthorization选项可以在本地配置的WSUS服务器上启动手动更新检查,也可以根据Microsoft的要求通过Windows更新服务启动手动更新检查。
但是,MDSec研究人员David Middlehurst发现,攻击者还可以通过使用以下命令行选项从任意特制的DLL加载wuauclt,从而在Windows 10系统上执行恶意代码:
wuauclt.exe /UpdateDeploymentProvider [path_to_dll] /RunHandlerComServer

如上面的屏幕快照所示,Full_Path_To_DLL是攻击者特制的DLL文件的绝对路径,该文件将在附加时执行代码。
MITRE ATT&CK通过Rundll32将这种防御规避技术归类为签名二进制代理执行,它使攻击者可以绕过防病毒,应用程序控制和数字证书验证保护
在这种情况下,它通过从使用签名的Microsoft二进制文件Windows Update客户端(wuauclt)加载的DLL中执行恶意代码来执行此操作。
在发现wuauclt也可以用作LoLBin之后,Middlehurst还找到了在野外使用它的样本。
微软最近更新了Windows 10 Microsoft Defender防病毒解决方案,具有讽刺意味的是,它悄悄地添加了一种将文件(可能是恶意文件)下载到Windows设备的方法。

Microsoft随后从MpCmdRun.exe(Microsoft反恶意软件服务命令行实用程序)中删除了该功能。
上个月,BleepingComputer还报告说,Microsoft Windows TCPIP Finger命令还可以用作文件下载器,以及用作 渗出数据的替代命令和控制(C3)服务器。
*编译:Domino
*来自:bleepingcomputer