Trusted Design
Adversaries may impair a system's ability to hibernate, reboot, or shut down in order to extend access to infected machines. When a computer enters a dormant state, some or all software and hardware may cease to operate which can disrupt malicious activity.(Citation: Sleep, shut down, hibernate)
Adversaries may abuse system utilities and configuration settings to maintain access by preventing machines from entering a state, such as standby, that can terminate malicious activity.(Citation: Microsoft: Powercfg command-line options)(Citation: systemdsleep Linux)
For example, powercfg controls all configurable power system settings on a Windows system and can be abused to prevent an infected host from locking or shutting down.(Citation: Two New Monero Malware Attacks Target Windows and Android Users) Adversaries may also extend system lock screen timeout settings.(Citation: BATLOADER: The Evasive Downloader Malware) Other relevant settings, such as disk and hibernate timeout, can be similarly abused to keep the infected machine running even if no user is active.(Citation: CoinLoader: A Sophisticated Malware Loader Campaign)
Aware that some malware cannot survive system reboots, adversaries may entirely delete files used to invoke system shut down or reboot.(Citation: Condi-Botnet-binaries)
T1653は「Power Settings（電源設定の悪用）」として定義されている、比較的新しく追加された巧妙な「永続化（Persistence）」および「防御回避（Defense Evasion）」のテクニックです。
Windows、Linux、macOS、さらにはネットワークデバイスを対象に、「端末の省電力モード（スリープ、休止状態）への移行や、画面の自動ロック、システムのシャットダウン・再起動を力技で妨害し、マルウェアが稼働し続けられる時間を極限まで引き延ばす」手法です。
この手法で攻撃者は、「ユーザーが席を外しても、端末が眠ったりロックされたりするのを防ぎ、バックドアや不正処理をノンストップで実行し続けること」を実現します。
妨害のない稼働時間（永続化）の確保:
暗号資産（仮想通貨）を不正に採掘するマイニングマルウェア（Cryptominer）や、大量のデータを外部に送出（Exfiltration）するバックドアにとって、「端末がスリープ状態になること」は活動の強制停止を意味します。電源設定を書き換えることで、システムが低電力状態になるのを未然に防ぎます。
対話型アクセスの維持:
遠隔操作でデスクトップを乗っ取る「RAT（Remote Access Trojan）」などの攻撃において、画面が自動ロックされてしまうと再ログインが必要になります。ロックを妨害することで、攻撃者はいつでも侵入先を自由に操作できる状態をキープします。
シャットダウンの物理的妨害:
一部の攻撃者は、再起動によってメモリ上のデータが消えるのを恐れ、OSのシャットダウンや再起動に必要なシステムファイル自体を破壊・消去して、システムが「落とせない」ように工作します。
Windows環境で、標準の電源管理ツール powercfg.exe が悪用されるケース（BATLOADERなどのマルウェアキャンペーンで頻出）を例に解説します。
初期侵入:
フィッシングメールや不正なダウンロードリンクを介して、ターゲットの端末で初期コードを実行させます。
電源構成の調査:
攻撃者は現在のPCのスリープタイマーやディスプレイの消灯設定を調査します。Windowsであれば、powercfg /query コマンドなどが使われます。
設定の改ざん（トリガー）:
システムユーティリティを使って、AC電源動作時およびバッテリー駆動時の「スリープ」「休止状態（ハイバネーション）」に移行する時間を 0（=無効・絶対にスリープしない）に変更します。
powercfg /change standby-timeout-ac 0powercfg /change hibernate-timeout-ac 0 ロック画面タイムアウトの延長:
レジストリ（HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System）の値を書き換えるなどして、画面が自動でロックされるまでの時間を極端に長くします。
目的の実行:
ユーザーが夜間に帰宅し、PCが放置されても、PCは昼間と同様にフル稼働し続けます。攻撃者はこの誰もいない時間帯を狙って、ランサムウェアを一斉に展開したり、マイニングでCPU/GPUを限界まで酷使したりします。
「電源管理コマンドの実行」と「電源関連の設定ファイル・レジストリの変更」をキャッチするのが鉄則です。
powercfg 等のコマンド引数監視（最重要）:
EDRやWindows Sysmon（Event ID 1: Process Creation）を用いて、powercfg.exe が /change や standby-timeout などの引数を伴って動作していないか、またLinux環境で systemd-sleep の設定が不自然に変更されていないかを監視します。一般ユーザーがコマンドラインから電源設定を「スリープなし」に書き換えることはまずありません。
グループポリシー（GPO）による電源管理の強制:
企業の管理者側で、Active Directoryのグループポリシーを用いて「15分放置で強制スリープ、画面ロック」といった安全な電源プランを一斉適用し、ローカルユーザー（マルウェア）による設定変更を強制的に上書き・拒否します。
異常な夜間アクティビティの検知:
オフィスが閉まっている深夜時間帯において、スリープせずに大量のネットワーク通信や高いCPU使用率を記録しているエンドポイントをSIEMなどで検知できるようにします。
「仕様の悪用」ゆえの盲点:
スリープ時間を変更すること自体は、Windowsの「プレゼンテーションモード」などでも使われる合法的な機能（仕様）です。そのため、ファイル単体を見るセキュリティソフトではスルーされやすく、「なぜ今、そのコマンドが実行されたのか」というコンテキスト（文脈）の監視が必要になる点が特徴です。
マルウェアの生存戦略の多様化:
T1547（起動時に自動復活する）が「死んでも蘇る」戦略であるのに対し、この T1653 は「そもそも死なない（眠らせない）ようにする」という、異なるアプローチの生存戦略を体現しています。
CWE-437: Accessing Internal Efficiency Mechanism（内部効率化機構へのアクセス）
OSがハードウェアの寿命や節電のために用意している「電力管理・効率化機構」に対して、不正なプログラムが介入し、その制御を乗っ取ってしまう問題。
CWE-732: Incorrect Permission Assignment for Critical Resource（重要なリソースに対する不適切なアクセス権限の割り当て）
システム全体の電源状態を左右する設定やコマンドへのアクセス・実行権限が、適切に制限されていない設計上の不備。
T1653（Power Settings）はOSの機能そのものを制御する手口であるため、直接的に「この脆弱性のバグコード」として割り当てられたCVEはありませんが、実際のサイバー犯罪組織やボットネットに激しく悪用されています。
Condi ボットネットの事例:
DDoS攻撃を仕掛けるマルウェア「Condi」などの亜種において、デバイスの制御を永続的に維持するため、Linuxシステムにおいて再起動（reboot）やシャットダウン（shutdown）を呼び出すためのシステムバイナリファイルを完全に削除・破壊し、管理者による強制的な再起動からの復旧を物理的に妨害する（T1653の最もアグレッシブな形態）手口が確認されています。
Monero（XMR）マイニングマルウェア:
世界中で横行している仮想通貨マイニングアクター（GuloaderやBATLOADERからドロップされるペイロードなど）は、被害者の電気代を使って24時間365日効率よく採掘を続けさせるため、初期侵入時のスクリプトの定番セットとして、この powercfg コマンドによるスリープ無効化（T1653）を確実に実行します。
社内ネットワークのセキュリティ監査において、特定の端末が「何日も連続でスリープに入っていない（オンライン状態が続いている）」場合、単に従業員が電源を切り忘れただけでなく、バックグラウンドでマルウェアが powercfg を使ってシステムを強制覚醒させている可能性があります。
該当端末のイベントログから、電源プロファイルの変更履歴をトレースすることが、潜伏中の脅威を見つけ出すブレイクスルーとなります。
この攻撃手法を利用する脅威アクターは登録されていません。