Trusted Design
Adversaries may establish persistence and/or elevate privileges using system mechanisms that trigger execution based on specific events. Various operating systems have means to monitor and subscribe to events such as logons or other user activity such as running specific applications/binaries. Cloud environments may also support various functions and services that monitor and can be invoked in response to specific cloud events.(Citation: Backdooring an AWS account)(Citation: Varonis Power Automate Data Exfiltration)(Citation: Microsoft DART Case Report 001)
Adversaries may abuse these mechanisms as a means of maintaining persistent access to a victim via repeatedly executing malicious code. After gaining access to a victim system, adversaries may create/modify event triggers to point to malicious content that will be executed whenever the event trigger is invoked.(Citation: FireEye WMI 2015)(Citation: Malware Persistence on OS X)(Citation: amnesia malware)
Since the execution can be proxied by an account with higher permissions, such as SYSTEM or service accounts, an adversary may be able to abuse these triggered execution mechanisms to escalate their privileges.
T1546は「Event Driven Execution（イベント駆動型実行）」として定義されている、永続化（Persistence）および特権昇格（Privilege Escalation）を達成するための極めて実戦的かつ強力な親（マクロ）テクニックです。
システム内で発生する「特定のイベント（例: ファイルが開かれた、特定のシステム状態が変化した、PCが放置されてスクリーンセーバーが起動したなど）」を感知（トリガー）して、マルウェアを何食わぬ顔して自動実行させる手法を包括しています。
攻撃者が「定期的に実行する（タイマー型）」のではなく、「何かが起きたら連動する（イベント型）」ため、セキュリティ製品の監視の目をかいくぐりやすいのが特徴です。現在は15個以上のサブテクニックに細分化されています。
この手法で攻撃者は、「システムやユーザーが日常の自然な操作を行うだけで、その背後に隠れてバックドアが自動的に起動・復活するステルス性の高い環境」を実現します。
受動的で足がつきにくい永続化:
攻撃者が自身でタイマーをセットして起動する「タスクスケジューラ（T1053）」などとは異なり、OSやユーザーの正規の行動（イベント）の「ついで」にマルウェアが起動します。そのため、タイムライン分析による不審な定時実行アラートなどを回避できます。
トリガーに応じた特権昇格:
システムの根幹で発生するイベント（例：WMIのシステムイベントやログイン処理）に自身のコードを引っ掛けておくことで、システム最高権限（SYSTEM）を自動的に引き継いでコードを実行させることができます。
T1546の下には、OSのあらゆる「仕様」を逆手に取ったトリガーが網羅されています。
T1546.001: Change Default File Association（ファイル関連付けの変更）
ユーザーが .txt や .docx などのファイルをダブルクリックした際、正規のアプリ（メモ帳やWord）が起動する前に、マルウェアが身代わりとして起動するように設定を書き換えます。
T1546.002: Screensaver（スクリーンセーバー）
ユーザーが席を外してPCが一定時間放置され、スクリーンセーバー（.scr ファイル）が起動するイベントをトリガーに、裏でマルウェアを起動させます。
T1546.003: Windows Management Instrumentation Event Subscription（WMIイベントサブスクリプション）
Windowsのシステム管理機能（WMI）を利用し、「不審なプロセスが起動した時」「10MB以上のファイルが作成された時」といった高度な条件（イベント）を登録し、それが満たされた瞬間にマルウェアを自動実行させます。
T1546.012: Image File Execution Options Injection（IFEOインジェクション）
特定のアプリが起動するイベントを横取りし、デバッガ機能を利用してマルウェアを身代わり実行させます。
一般ユーザー権限でも実行可能な、レジストリを悪用したファイルの関連付け変更を例に解説します。
初期侵入:
フィッシングなどでターゲットのWindows端末に一般ユーザー権限で侵入します。
マルウェアの配置:
ユーザーの AppData などの目立たないフォルダに、バックドア（例: malware.exe）を設置します。
関連付けレジストリの改ざん（トリガーの設置）:
ユーザーがテキストファイル（.txt）を開いたときにマルウェアが動くよう、ユーザー個人のレジストリ（HKCU）のクラス定義を書き換えます。
reg add "HKCU\Software\Classes\txtfile\shell\open\command" /ve /t REG_SZ /d "C:\Users\username\AppData\Local\malware.exe \"%1\"" /fイベントの発生（トリガー）:
仕込み完了後、攻撃者はじっと待ちます。数時間後、ユーザーが業務のためにデスクトップにある「メモ.txt」をダブルクリック（イベント発生）します。
コード実行（目的達成）:
Windowsシステムは、書き換えられたレジストリに従い、メモ帳ではなく malware.exe を最優先で起動します。マルウェアは裏でC2サーバーへリバースシェルを確立しつつ、ユーザーに怪しまれないよう、本来のメモ帳で「メモ.txt」を開いて画面に表示します。
「イベントを検知するための設定変更（レジストリ書き込み等）」をいかに早くキャッチするかが重要です。
重要レジストリ領域の書き込み監視（最重要）:
EDRやファイル・レジストリ整合性監視（FIM）ツールを用いて、ファイルの関連付け（HKLM\SOFTWARE\Classes\ や HKCU\Software\Classes\）や、スクリーンセーバー設定、IFEO領域への予期せぬ書き込みをリアルタイムで検知・ブロックします。
WMIリポジトリの定期監査:
Get-CimInstance などのPowerShellコマンドを用いて、システム内に意図しないWMIイベントフィルター（__EventFilter）やコンシューマー（__EventConsumer）が登録されていないかを定期的に棚卸し・監査します。
プロセスの親子関係の異常検知:
「スクリーンセーバーのプロセス（scrnsave.scr）」や「WMIのホストプロセス（WmiPrvSE.exe）」から、本来起動するはずのない不審な cmd.exe や外部通信を行うバイナリが子プロセスとしてスポーン（発生）していないかをEDRで相関監視します。
CWE-15: External Control of System or Configuration Setting（システムまたは構成設定 of 外部制御）
OSが特定のイベントをトリガーにしてプログラムを実行する際の「構成設定（レジストリや構成ファイル）」が、攻撃者によって外部から自由に変更可能になってしまっている構造上の弱点。
CWE-732: Incorrect Permission Assignment for Critical Resource（重要なリソースに対する不適切なアクセス権限の割り当て）
ユーザー個人のレジストリ領域（HKCU）など、管理者権限がなくても書き込める場所にシステム実行フローを左右するイベント駆動設定が存在しており、一般ユーザー権限での永続化を容易にしてしまっている問題。
T1546（Event Driven Execution）は、OSが提供している「イベント連動」という正規の仕様を悪用するため、これ単体にCVEがあるわけではありませんが、高度な国家系ハッカー集団やランサムウェアの「潜伏（隠蔽）」フェーズで驚異的な悪用実績を持っています。
APT29（ロシア政府系ハッカー）によるWMIの悪用（T1546.003）:
このグループは、標的のネットワークに侵入した後、タスクスケジューラなどの目立つ自動起動を一切使わず、WMIイベントサブスクリプション（T1546.003）を多用することで有名です。「システムが起動してから残りカウントがゼロになった時」や「特定の管理者がログインした時」という複雑な条件をWMIに埋め込み、セキュリティツール（アンチウイルスなど）のファイルスキャンを完全にすり抜けて長期にわたるサイバースパイ活動を成功させました。
Stuxnet（歴史的なサイバー兵器）によるファイル関連付けの悪用（T1546.001）:
イランの核施設を狙ったマルウェア「Stuxnet」のいくつかのコンポーネントにおいて、特定のシステム構成ファイルやショートカットが開かれた際のイベント駆動処理を乗っ取ることで、ネットワーク内で次々と他の制御端末へ自動的に感染・実行を広げていくためのブースターとしてこの概念が組み込まれていました。
フォレンジック調査や日常のシステム監査において、「Autoruns」ツールなどのチェックリストに載らないような深い潜伏を見つけ出すには、この T1546 の視点（何に連動して動いているか）が必要です。
特に、Windows環境における「WMIイベント」はファイルとしてディスクに保存されず、WMIのデータベース（リポジトリ）内に直接格納されるため、従来のファイルスキャンでは「ファイルが見つからない（Fileless）」状態になります。EDRでの挙動監視や、定期的なWMIクエリによる内部調査をセキュリティ運用（SOC）に組み込むことが、この見えないトリガーを暴くためのブレイクスルーとなります。
この攻撃手法を利用する脅威アクターは登録されていません。