IFEO インジェクション.

Windows レジストリの Image File Execution Options キーを悪用し、対象実行ファイルの起動時に攻撃者コードを実行させる持続化および権限昇格手法。 サイバーセキュリティの 攻撃と脅威 カテゴリに属します。

Windows レジストリの Image File Execution Options キーを悪用し、対象実行ファイルの起動時に攻撃者コードを実行させる持続化および権限昇格手法。

IFEO インジェクション(MITRE ATT&CK T1546.012)は、HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options を悪用します。本来はデバッグ用で、実行ファイル名に Debugger 値を設定すると、Windows はその実行ファイル起動時に元のバイナリを引数としてデバッガを起動します。攻撃者は sethc.exe・utilman.exe・taskmgr.exe など頻用される実行ファイルのデバッガとしてペイロードを登録し持続化したり、GlobalFlag と SilentProcessExit サブキーを併用して対象プロセス終了時にコードを起動させます。管理者権限が必要ですが効果が高く、見落とされがちです。対策は Sysmon イベント 13 による IFEO 書き込み監視、AppLocker による制限、未署名バイナリを指す Debugger 値のアラートです。

IFEO インジェクション に対する防御は通常、上記の定義で述べたとおり、技術的統制と運用上の実践を組み合わせます。

一般的な別名: Image File Execution Options の悪用, デバッガ ハイジャック, SilentProcessExit 持続化。