间接命令执行是攻击者通过滥用系统内置工具或脚本引擎执行恶意指令的技术，旨在绕过安全策略对命令行解释器的使用限制。传统防御手段主要通过监控进程创建事件、分析命令行参数特征以及检测异常子进程生成来识别攻击行为，例如使用Sysmon记录进程创建日志并关联可疑参数模式。然而，随着攻击技术的演进，这种基于显式特征匹配的检测方法面临严峻挑战。
为规避传统检测机制，攻击者发展出多种隐蔽式间接命令执行技术，通过工具滥用、代码动态化、环境隐藏等手段，将恶意操作深度嵌入系统管理活动的正常流程中，实现攻击行为的"合法化"伪装。
现有匿迹技术的核心创新在于攻击载荷的分散化处理与执行上下文的深度伪造。攻击者通过四层递进策略实现隐蔽：首先，选择具有系统可信特征的宿主进程作为执行载体，规避进程黑白名单检测；其次，将完整攻击链拆解为多个无害化操作步骤，利用系统工具间的隐式调用关系重组恶意逻辑；再次，采用动态代码生成技术避免攻击载荷的静态存储，结合内存驻留机制消除磁盘痕迹；最后，通过环境变量、注册表项等非传统参数传递通道隐藏指令片段，干扰安全设备的监控逻辑。这些技术共同构建了"进程合法、行为分散、载荷隐形"的新型攻击范式，使得传统基于单点检测的防御体系难以有效识别跨进程、跨时段的协同攻击行为。
匿迹技术的演进迫使防御体系向纵深监测方向发展，需加强进程行为上下文关联分析、内存取证能力建设，并构建系统工具合法使用基线模型，通过异常参数模式识别和跨组件调用链追踪提升检测精度。
| 效应类型 | 是否存在 |
|---|---|
| 特征伪装 | ✅ |
| 行为透明 | ❌ |
| 数据遮蔽 | ❌ |
| 时空释痕 | ✅ |
攻击者通过深度模仿系统管理工具的正常使用模式实现特征伪装。例如将恶意指令嵌入合法工具的参数规范中，或构造符合脚本引擎语法结构的混淆代码，使得攻击行为在进程名称、命令行参数、脚本结构等维度与正常管理操作高度相似，有效规避基于特征规则匹配的检测系统。
通过跨进程协作和延时触发机制分散攻击链，例如将指令片段存储在不同注册表项中，由多个计划任务分时段触发重组执行。这种时空分离策略稀释了攻击行为的关联特征，增加了防御方进行全链路行为分析的难度。
| ID | Name | Description |
|---|---|---|
| S0193 | Forfiles |
Forfiles can be used to subvert controls and possibly conceal command execution by not directly invoking cmd.[1][2] |
| G0032 | Lazarus Group |
Lazarus Group persistence mechanisms have used |
| G1039 | RedCurl |
RedCurl has used pcalua.exe to obfuscate binary execution and remote connections.[4] |
| S0379 | Revenge RAT |
Revenge RAT uses the Forfiles utility to execute commands on the system.[5] |
This type of attack technique cannot be easily mitigated with preventive controls since it is based on the abuse of system features.
| ID | Data Source | Data Component | Detects |
|---|---|---|---|
| DS0017 | Command | Command Execution |
Monitor executed commands and arguments to bypass security restrictions that limit the use of command-line interpreters. |
| DS0009 | Process | Process Creation |
Monitor for newly constructed processes and/or command-lines that can be used instead of invoking cmd (i.e. pcalua.exe, winrs.exe, cscript/wscript.exe, hh.exe, or bash.exe) |