Перехват COM.

Техника закрепления, перенаправляющая разрешение CLSID Windows Component Object Model на код злоумышленника, который выполняется при каждой инстанциации объекта. Относится к категории Атаки и угрозы в кибербезопасности.

Техника закрепления, перенаправляющая разрешение CLSID Windows Component Object Model на код злоумышленника, который выполняется при каждой инстанциации объекта.

Перехват COM (MITRE ATT&CK T1546.015) использует механизм регистрации Windows Component Object Model. Каждый COM-объект идентифицируется CLSID в HKLM или HKCU; пользовательский улей HKCU\Software\Classes\CLSID просматривается раньше HKLM, поэтому обычный пользователь может зарегистрировать вредоносный путь InProcServer32 для часто используемого CLSID. В результате Explorer, Office или планировщик задач загружают DLL или скриптлет злоумышленника. Триггером служит обычный вызов API CoCreateInstance, поэтому метод незаметен и переживает перезагрузку. Обнаружение строится на новых записях CLSID в HKCU, неподписанных DLL в пользовательских путях и аномальных дочерних процессах explorer.exe; защита включает AppLocker/WDAC, мониторинг реестра Sysmon и ограничение прав записи на чувствительные ключи.

Защита от Перехват COM обычно сочетает технические меры и операционные практики, как описано в определении выше.

Распространённые альтернативные названия: Перехват Component Object Model, Перехват CLSID.