一种新型Windows恶意计划任务的隐藏及排查方法

摘要

在特殊对抗环境下,特别是域渗透环境中,经常使用Windows系统的计划任务,其作用是远程启动恶意进程以及进程的自启动,以便达到持久化控制的目的。本文基于在实网攻防中获取的新型恶意计划任务样本,对该新型恶意计划任务的隐藏手段进行了深入分析,并提出了针对该新型恶意计划任务的两种排查方法。该排查方法已经成为红队重要的检测手段并进行了应用。实践证明,该排查方法可以有效检测恶意计划任务,提升红队的网络攻防能力。