计划任务持久化.

一种持久化与执行手法,攻击者创建或修改 Windows 计划任务,使载荷在登录、开机或定时等触发条件下运行。 它属于网络安全的 攻击与威胁 分类。

一种持久化与执行手法,攻击者创建或修改 Windows 计划任务,使载荷在登录、开机或定时等触发条件下运行。

计划任务持久化(MITRE ATT&CK T1053.005)滥用 Windows 任务计划程序。攻击者通过 schtasks.exe、ITaskService COM 接口,或直接向 %SystemRoot%\System32\Tasks 投递 XML 来注册任务,使其在开机、登录、用户空闲、按日历或基于事件时运行。在 SYSTEM、NETWORK SERVICE 或特权服务账户下运行的任务可同时提供持久化和提权。新变种通过删除 SD 值或使用空主体注册来隐藏任务,需要超越 GUI 的检测手段。防御措施:监控安全事件 4698(任务创建)和 4702(任务更新)、Sysmon 事件 1 中的 schtasks.exe 启动、为预期任务建立基线,并限制创建任务的用户权限。

针对 计划任务持久化 的防御通常结合技术控制与运营实践,详见上方完整定义。

常见的别称包括: schtasks 持久化, 任务计划程序滥用。