Trusted Design
Adversaries may abuse task scheduling functionality to facilitate initial or recurring execution of malicious code. Utilities exist within all major operating systems to schedule programs or scripts to be executed at a specified date and time. A task can also be scheduled on a remote system, provided the proper authentication is met (ex: RPC and file and printer sharing in Windows environments). Scheduling a task on a remote system typically may require being a member of an admin or otherwise privileged group on the remote system.(Citation: TechNet Task Scheduler Security)
Adversaries may use task scheduling to execute programs at system startup or on a scheduled basis for persistence. These mechanisms can also be abused to run a process under the context of a specified account (such as one with elevated permissions/privileges). Similar to System Binary Proxy Execution, adversaries have also abused task scheduling to potentially mask one-time execution under a trusted system process.(Citation: ProofPoint Serpent)
T1053「Scheduled Task/Job」（スケジュールされたタスク/ジョブ） は、攻撃者がOS標準のタスクスケジューリング機能を利用して、指定した時間やイベントに合わせて悪意のあるコードを実行する手法です。
Windowsの「タスクスケジューラ」や、Linuxの「cron」などが対象となります。
この手法で攻撃者は、「自動化されたコード実行と、強固な永続化」を実現します。
プラットフォームごとに、攻撃者は正規の管理コマンドを悪用します。
schtasks.exe コマンドや PowerShell を使用してタスクを登録します。schtasks /create /tn "Update" /tr "C:\malware.exe" /sc hourly (1時間おきに実行)crontab ファイルを書き換え、特定の時間にスクリプトが動くように設定します。echo "* * * * * /tmp/backdoor.sh" | crontab - (毎分実行)at.exe（現在は schtasks に統合）を利用したリモート実行。「勝手に作られたタスク」をいかに早く見つけるかが重要です。
Temp フォルダや AppData 内のプログラムをタスクとして実行する設定がないか、定期的に監査します。Windows Update や OneDrive Maintenance のように、システム標準の機能に見せかけて隠蔽します。PowerShell の難読化スクリプトを書き込むことで、検知を困難にします。schtasks を利用してリモートからバックドアを設置・維持したことが報告されています。Windowsの場合、schtasks /query /fo LIST /v コマンドを叩くことで、現在登録されている全タスクの詳細情報を確認できます。特に「作成者」や「実行されるプログラムのパス」に注目してください。
この攻撃手法を利用する脅威アクターは登録されていません。