AppInit_DLLs.

O abuso de AppInit_DLLs (MITRE ATT&CK T1546.010) visa HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows\AppInit_DLLs e o seu gémeo WOW6432Node. Quando LoadAppInit_DLLs está definido como 1, a rotina de inicialização do user32.dll mapeia cada DLL listada em AppInit_DLLs em qualquer processo que carregue user32.dll, ou seja, praticamente todas as aplicações gráficas interativas. Uma única escrita no registo proporciona, portanto, uma ampla execução de código e persistência, atuando como um "gatilho em novo processo" em vez de um arranque automático de uso único.

A técnica é antiga mas instrutiva. Forneceu o mecanismo de carregamento do clássico rootkit Vanquish, e software comercial usou-a historicamente (e de forma desajeitada): a Nvidia e vários IMEs distribuíram AppInit DLLs, razão pela qual as equipas de segurança não podem simplesmente alertar quando o valor não está vazio. Desde o Windows 8, quando o Secure Boot está ativado, o mecanismo AppInit é desativado a menos que cada DLL listada esteja assinada por código, reduzindo drasticamente o seu alcance; no Windows 10/11 com Secure Boot ativado, está praticamente morto. Ainda surge em parques legados de Windows 7/Server 2008 e em hosts onde o Secure Boot foi desativado por compatibilidade.

Defesas: manter o Secure Boot ativado, aplicar a política "exigir AppInit DLLs assinadas", estabelecer uma linha de base do valor com o Autoruns da Sysinternals e alertar sobre escritas no registo nestas chaves via Sysmon Event ID 13 ou telemetria de EDR.

flowchart TD
  A[Atacante com admin local] --> W[Escreve o caminho da DLL na chave AppInit_DLLs]
  W --> L[Define LoadAppInit_DLLs = 1]
  L --> N[Um novo processo GUI arranca]
  N --> U[O processo carrega user32.dll]
  U --> SB{Secure Boot ativo e DLL nao assinada?}
  SB -->|Sim| BLK[Carregamento ignorado - tecnica neutralizada]
  SB -->|Nao| INJ[DLL maliciosa mapeada no processo]
  INJ --> RUN[O codigo executa em cada app interativa -> persistencia]
  W -.detetado.-> DET[Alertas Sysmon EID13 / linha de base Autoruns]