Trusted Design
Adversaries may configure system settings to automatically execute a program during system boot or logon to maintain persistence or gain higher-level privileges on compromised systems. Operating systems may have mechanisms for automatically running a program on system boot or account logon.(Citation: Microsoft Run Key)(Citation: MSDN Authentication Packages)(Citation: Microsoft TimeProvider)(Citation: Cylance Reg Persistence Sept 2013)(Citation: Linux Kernel Programming) These mechanisms may include automatically executing programs that are placed in specially designated directories or are referenced by repositories that store configuration information, such as the Windows Registry. An adversary may achieve the same goal by modifying or extending features of the kernel.
Since some boot or logon autostart programs run with higher privileges, an adversary may leverage these to elevate privileges.
T1547は「Boot or Logon Autostart Execution（ブートまたはログイン時の自動実行）」として定義されている、数あるATT&CKテクニックの中で最も頻出する「永続化（Persistence）」および「特権昇格（Privilege Escalation）」の巨大な親（マクロ）テクニックです。
OSの起動（ブート）時、またはユーザーがシステムにログイン（サインイン）した際の処理フローを悪用し、「OSやユーザーが立ち上がった瞬間に、マルウェアを何食わぬ顔して自動実行させる」手法を包括しています。
このテクニックは非常に広範であるため、現在はOSや悪用する機能ごとに15個以上のサブテクニックに細分化されて厳格に管理されています。
この手法で攻撃者は、「自分が何もしなくても、ターゲットがPCやサーバーの電源を入れる（またはログインする）だけで、バックドアが自動的に復活・接続してくる確実な不労所得のような環境」を実現します。
鉄壁の永続化（自動復活）:
セキュリティ担当者やEDRによってマルウェアのプロセスが強制終了されたり、端末が再起動されたりしても、次回OSが起動するか、ユーザーがログインすれば、OSの正規の仕組みによってマルウェアが自動的に再生成・実行されます。
特権昇格への便乗:
ログインするユーザー（特に管理者アカウント）や、OSのブートプロセスそのものに自身のコードを滑り込ませておくことで、そのユーザーやシステムが持つ高い権限（SYSTEM、root、Administrator）をそのまま引き継いでマルウェアを動作させることができます。
T1547の下には、攻撃者が好む「自動起動の裏口」が網羅されています。
T1547.001: Registry Run Keys / Startup Folder（Windowsの最定番）
レジストリの Run キー（HKCU\Software\Microsoft\Windows\CurrentVersion\Run など）や、スタートアップフォルダにマルウェアのショートカットを置く、最も古典的かつ今なお多い手法です。
T1547.003: Time Providers（タイムプロバイダーの悪用 ※前述のT1209）
Windowsの時間同期サービス（W32Time）の起動時に、最高権限（SYSTEM）でマルウェアDLLをインジェクションさせます。
T1547.006: Kernel Modules and Extensions（カーネル層への寄生 ※前述のT1215）
LinuxのLKMやWindowsのカーネルドライバ（.sys）を悪用し、OSの心臓部で自動起動させます。
T1547.009: Shortcut Modification（ショートカットの改ざん）
デスクトップにある「ブラウザ」や「Excel」などのショートカットファイルの「リンク先」を書き換え、ユーザーがアプリを起動したついでに裏でマルウェアも同時に起動させます。
一般ユーザー権限でも実行可能な、最もポピュラーなレジストリ悪用（T1547.001）を例に解説します。
初期侵入:
フィッシングメールの添付ファイルなどを介して、ターゲットのWindows端末に侵入し、一般ユーザー権限を確保します。
マルウェアの隠匿:
遠隔操作ツール（RAT）などの実行ファイル（例: update.exe）を、ユーザーの AppData\Local\ などの目立たない隠しフォルダに配置します。
自動起動レジストリの書き換え:
コマンド（reg add）やスクリプトを悪用し、ユーザー個人の自動起動設定領域（HKCU）にマルウェアのパスを登録します。
reg add "HKCU\Software\Microsoft\Windows\CurrentVersion\Run" /v "OneDriveUpdate" /t REG_SZ /d "C:\Users\username\AppData\Local\update.exe" /f（※「OneDriveUpdate」という正規風の名前でレジストリに登録）
自動起動の発動（トリガー）:
仕込み完了後、ユーザーがPCをシャットダウンして翌日出社し、Windowsにログイン（サインイン）します。
コード実行:
Windowsシステムがログイン処理の一環として Run レジストリを読み込み、攻撃者の仕込んだ update.exe をユーザーに気づかれることなくバックグラウンドで自動起動させます。ここからC2サーバーへのリバースシェル通信が確立されます。
自動起動のポイント（レジストリやフォルダ）を網羅的に監視・ロックすることがディフェンスの基本です。
自動起動領域のレジストリ・フォルダ監視（FIM / 最重要）:
EDRやファイル整合性監視（FIM）ツールを用いて、Windowsの Run / RunOnce キーや、スタートアップフォルダ（Microsoft\Windows\Start Menu\Programs\Startup）に対する予期せぬ書き込み・ファイルの追加をリアルタイムで検知・ブロックします。
Sysinternals「Autoruns」ツールによる定期監査:
Microsoftが公式に提供している無料の強力な調査ツール Autoruns を使用し、システム内に存在する数千もの自動起動ポイント（レジストリ、タスク、サービス、ドライバー、シェル拡張など）を一括スキャンし、デジタル署名のない不審なプログラムが紛れ込んでいないかを定期的に監査します。
最小権限の原則の徹底:
システム全体に影響する自動起動ポイント（HKLM領域や、Linuxの /etc/ 配下など）への書き込みを阻止するため、一般従業員のアカウントからローカル管理者権限（Local Admin）を剥奪しておきます。
CWE-15: External Control of System or Configuration Setting（システムまたは構成設定の外部制御）
OSの起動・ログイン時に読み込まれる重要な構成設定（Runレジストリや構成ファイルなど）が外部から変更可能になっており、実行フローを乗っ取られてしまう構造的な弱点。
CWE-732: Incorrect Permission Assignment for Critical Resource（重要なリソースに対する不適切なアクセス権限の割り当て）
スタートアップフォルダや特定の自動起動用レジストリキーのアクセス権限が緩く、悪意あるプログラムによる書き込み（永続化の設置）を許してしまう問題。
T1547（Boot or Logon Autostart Execution）は、OSがユーザーの利便性のために標準で提供している「自動起動の仕様・機能」そのものを悪用するため、これ単体にCVE番号があるわけではありません。しかし、攻撃者が「一般ユーザーの目から隠れた、より強力なシステム層の自動起動（例：カーネルドライバやSYSTEMサービスなど）」を仕込むための管理者権限を強引に奪い取る際に、以下のような脆弱性が組み合わされます。
CVE-2021-1675 / CVE-2021-34527 (PrintNightmare):
Windowsの印刷スプーラーに存在した、最高権限をリモート・ローカルから奪取できる極めて有名な脆弱性です。ハッカーはこれを利用して一瞬でSYSTEM権限を獲得した後、その高い権限を使って T1547.006（カーネルモジュールの追加） や、システム全体のレジストリ（HKLM）のRunキーを書き換えて、二度とアクセス権を失わないための強固な永続化を完成させました。
CVE-2022-26904 (Windows User Profile Service の脆弱性):
Windowsのログイン・プロファイル処理に存在した権限昇格の脆弱性です。ハッカーがログインプロセスそのものを侵害し、ユーザーがサインインした瞬間に自動的に悪意あるコードを特権実行させる（T1547の文脈に直結する）ための足がかりとして悪用された事例があります。
マルウェア感染が疑われる端末のフォレンジック調査において、「タスクマネージャーで見つけた怪しいプロセスを落としても、PCを再起動すると必ずまた同じ不審な通信が始まる」という場合、原因はこの T1547 のいずれかのサブテクニック（特にRunレジストリやスタートアップ）にあります。
まずは Autoruns ツールを実行するか、レジストリの CurrentVersion\Run を手作業で確認し、そこに登録されているプログラムのデジタル署名が「Verified（検証済み）」になっているか、パスが不自然な場所になっていないかをチェックすることが、調査のファーストステップとなります。
この攻撃手法を利用する脅威アクターは登録されていません。
この攻撃手法に関連する CVE は登録されていません。