AppInit_DLLs.

Técnica legada de persistência no Windows que abusa de um valor do registo para carregar uma DLL específica em todos os processos de utilizador que ligam ao user32.dll. Pertence à categoria Ataques e ameaças da cibersegurança.

Técnica legada de persistência no Windows que abusa de um valor do registo para carregar uma DLL específica em todos os processos de utilizador que ligam ao user32.dll.

O abuso de AppInit_DLLs (MITRE ATT&CK T1546.010) visa HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows\AppInit_DLLs (e o gémeo em WOW6432Node). Quando LoadAppInit_DLLs está a 1, o carregador do user32.dll mapeia qualquer DLL listada em AppInit_DLLs em cada processo que liga ao user32.dll, ou seja, a maioria das aplicações interativas. Uma única escrita no registo dá ao atacante execução ampla e persistência. Desde o Windows 8, o Secure Boot desativa AppInit_DLLs salvo se a DLL for assinada e os requisitos forem relaxados, mas a técnica ainda surge em hosts antigos ou mal configurados. Defesas: manter Secure Boot ativo, exigir DLL assinadas, baseline com Autoruns e alertas Sysmon sobre alterações.

As defesas contra AppInit_DLLs costumam combinar controles técnicos e práticas operacionais, conforme detalhado na definição acima.

Nomes alternativos comuns: Injeção AppInit DLL, Persistência AppInit user32.