应用控制策略子进程逃逸报告.docVIP

应用控制策略子进程逃逸报告

一、子进程逃逸的基本概念与典型场景

（一）子进程逃逸的定义

子进程逃逸是指恶意程序通过创建、利用或篡改子进程，绕过应用控制策略的检测与拦截，从而在目标系统中执行未被授权的操作。应用控制策略通常通过限制可执行文件的路径、哈希值、数字签名等方式，阻止恶意代码的运行。但子进程逃逸技术能够利用系统的合法功能或漏洞，将恶意代码注入到受信任的子进程中，使其以合法进程的身份运行，进而躲避策略的管控。

（二）典型应用场景

办公环境中的恶意软件传播在企业办公环境中，员工日常使用的办公软件如MicrosoftOffice、WPS等，通常被应用控制策略列为可信任程序。攻击者可以通过发送包含恶意宏的文档，诱使员工打开。当文档中的宏被执行时，会创建子进程并加载恶意代码，绕过应用控制策略对未知程序的拦截，从而在员工的电脑上植入恶意软件，窃取敏感信息或发起进一步攻击。

金融系统中的欺诈行为金融机构的应用控制策略通常较为严格，以保护客户的资金安全和敏感数据。攻击者可能利用金融交易系统中的漏洞，创建子进程模拟合法的交易请求，绕过策略的验证机制，进行虚假交易或窃取客户的账户信息。例如，通过注入恶意代码到交易系统的子进程中，修改交易参数，将资金转移到攻击者控制的账户。

工业控制系统中的攻击工业控制系统（ICS）对安全性要求极高，应用控制策略用于防止未经授权的程序操作工业设备。攻击者可以利用