Rundll32 代理执行与计划任务持久化
样本信息
样本：
rundll32_cmd_schtask.evtx主要 ATT&CK：
T1218.011（System Binary Proxy Execution: Rundll32）、T1053.005（Scheduled Task）；补充T1059.003（Windows Command Shell）记录来源：
Microsoft-Windows-Sysmon/Operational；主机为MSEDGEWIN10操作账户：相关进程为
MSEDGEWIN10\IEUser时间：2020-10-23 21:57:34—21:58:25 UTC（EVTX 事件记录头）；北京时间为 2020-10-24 05:57:34—05:58:25。
总数：50 条 EVTX 记录
攻击链
| Sysmon Record ID | 事件时间（UTC；以 UtcTime 为主） | Event ID | 证据和解释 |
|---|---|---|---|
| 1 | 21:57:29.192 | 1 | WmiPrvSE.exe 创建，用户 NT AUTHORITY\NETWORK SERVICE；未能证明直接参与后续攻击 |
| 2—3 | 21:57:34.734—34.751 | 11 | C:\Users\Public\test.tmp 在 %LOCALAPPDATA%\Temp\tmp1375\ 创建两个文件，包含 d948 |
| 4 | 21:57:36.012 | 1 | test.tmp 为父进程，启动 rundll32.exe，调用 conf3234.dll 的 f8753 入口，参数 d948 |
| 5 | 21:57:36.328 | 11 | rundll32.exe 创建 C:\Users\IEUser\AppData\Local\Temp\sduchxll.tmp |
| 6—18 | 21:57:36.328—36.375 | 12、13 | rundll32.exe 产生 Explorer、ZoneMap 相关注册表写入，其中有 ProxyBypass=1、IntranetName=1、UNCAsIntranet=1、AutoDetect=0。不能孤立地将其视为持久化 |
| 19 | 21:57:36.394 | 1 | rundll32.exe 作为父进程启动 cmd.exe /C schtasks /Create /f /XML ... /TN DataUsageHandlers |
| 22 | 21:57:36.627 | 1 | cmd.exe 启动 schtasks.exe，完整命令行与 Record 19 对应；日志头写入时间为 21:58:07.601，晚于进程事件时间 |
| 23 | 21:58:07.594 | 10 | svchost.exe 访问 Explorer.EXE，仅凭该事件不能证明进程注入 |
| 24 | 21:58:17.171 | 1 | rundll32.exe shell32.dll,Control_RunDLL C:\PROGRA~3\DATAUS~1.DLL 4624665222 |
| 26 | 21:58:17.542 | 1 | 启动 rundll32.exe 并调用 shell32.dll,#44，继续引用 C:\PROGRA~3\DATAUS~1.DLL |
| 29 | 21:58:21.693 | 1 | rundll32.exe C:\PROGRA~3\DATAUS~1.DLL f8755 4624665222 |
| 30 | 21:58:21.688 | 10 | rundll32.exe 进程访问的调用堆栈包含 C:\PROGRA~3\DATAUS~1.DLL+109f71，提供 DLL 参与执行的附加线索 |
| 45 | 21:58:22.062 | 1 | 继续调用 rundll32.exe DATAUS~1.DLL f8755 4624665222 rd。 |
| 49—50 | 21:58:22.360—22.375 | 11 | rundll32.exe 在 AppData\Roaming 中创建 data.enc 与 config.xml |
早期 DLL 调用
1 | "C:\Windows\System32\rundll32.exe" conf3234.dll f8753 d948 |
通过 XML 创建计划任务
Record ID 19 和 22 直接构成一条父子进程链
1 | schtasks /Create /f /XML C:\Users\IEUser\AppData\Local\Temp\sduchxll.tmp /TN DataUsageHandlers |
/Create：创建计划任务
/f：强制覆盖同名任务
/XML：从指定文件读取任务定义
/TN：指定任务名称
后续 rundll32 DLL 调用
Record ID 29
1 | rundll32.exe C:\PROGRA~3\DATAUS~1.DLL f8755 4624665222 |
随后还观察到 rundll32.exe 创建两个文件
