办公应用启动: 注册表键值伪装注入

注册表键值伪装注入（Registry Key Camouflage Injection）是一种通过仿冒合法Office组件注册表项实现持久化的高级技术。攻击者分析目标系统Office软件的标准注册表结构，在HKCU\Software\Microsoft\Office路径下创建与官方配置项命名规范相符的恶意键值，将恶意代码执行指令嵌入COM加载项或插件配置参数。该技术通过模仿微软数字签名验证机制，构建具有合法元数据特征的注册表项，规避基于注册表异常检测的安全机制。

匿迹效果源于注册表结构的深度仿真与执行链的合法化重构。攻击者首先逆向分析Office组件的注册表访问模式，精确复制合法键值的命名规则（如GUID格式）、数据类型（REG_SZ/REG_BINARY）及访问权限配置。恶意载荷通过编码分割技术分散存储在多个子键中，利用Office启动时的配置加载机制进行动态重组。执行阶段通过劫持msoev、olkexplorer等合法Rundll32调用链，将恶意代码注入到officeclicktorun.exe等可信进程。该技术的关键突破在于将传统注册表持久化攻击中的显式恶意项转化为符合微软配置规范的隐形植入，使得注册表监控工具难以通过路径特征或数据模式识别异常。