T1562.009 Safe Mode Boot
Unter-TechnikEnterprisezurückgezogenAdversaries may abuse Windows safe mode to disable endpoint defenses. Safe mode starts up the Windows operating system with a limited set of drivers and services. Third-party security software such as endpoint detection and response (EDR) tools may not start after booting Windows in safe mode. There are two versions of safe mode: Safe Mode and Safe Mode with Networking. It is possible to start additional services after a safe mode boot. Adversaries may abuse safe mode to disable endpoint defenses that may not start with a limited boot. Hosts can be forced into safe mode after the next reboot via modifications to Boot Configuration Data (BCD) stores, which are files that manage boot application settings. Adversaries may also add their malicious applications to the list of minimal services that start in safe mode by modifying relevant Registry values (i.e. Modify Registry). Malicious Component Object Model (COM) objects may also be registered and loaded in safe mode.
Plattformen
Plattformen, für die dies gilt.
Taktiken
ATT&CK-Taktiken, denen diese Technik dient.
Abgewehrt durch (D3FEND)
D3FEND-Gegenmaßnahmen dagegen.
NIST CSF 2.0 — Relevanzbereiche (Protect / Detect)
NIST-CSF-2.0-Bereiche mit dem größten Bezug (belegbasiert).
- PR.AAIdentity Management, Authentication, and Access Controlmoderat · gestützt durch 6 von 13 zugeordneten Controls
- PR.PSPlatform Securitymoderat · gestützt durch 5 von 13 zugeordneten Controls
- DE.CMContinuous Monitoringmoderat · gestützt durch 4 von 13 zugeordneten Controls
Abgeleitet aus MITRE CTID (Apache-2.0) und dem NIST-800-53-↔-CSF-Crosswalk (gemeinfrei). Eine indikative Relevanz entlang der Protect-/Detect-Achse — keine Compliance-Bewertung und keine Abdeckungsaussage.
Mindernde Maßnahmen (13)
Sicherheitskontrollen, die dies mindern.
Angriffsmuster (1)
CAPEC-Angriffsmuster, die dies ausnutzen.
Quelle
Wo diese Definition veröffentlicht ist.