文章总结： 本文系统解析COM劫持持久化技术原理，包括CLSID注册表结构、劫持顺序（HKCU优先）及四种劫持类型，并通过实战样本分析展示COMpfun家族木马如何利用该技术实现隐蔽驻留。关键发现COM劫持是APT攻击首选持久化手段，建议通过注册表监控、行为分析和应用控制进行防御。
综合评分： 86
文章分类： 恶意软件,渗透测试,红队,内网渗透,威胁情报
从原理到实战：COM劫持持久化机制全解析
原创
weiqin
weiqin
大仙安全说
2026年4月7日 14:16
北京
点击蓝字，关注我们
大
仙
免责声明
大仙安全说的技术文章仅供参考，此文所提供的信息只为网络安全人员进行检测或维护参考，未经授权请勿利用文章中的技术资料对任何计算机系统进行入侵操作。利用此文所提供的信息而造成的直接或间接后果和损失，均由使用者本人负责。本文所提供的工具仅用于学习，禁止用于其他! ! !
01
COM劫持技术原理
一：COM组件机制
COM（Component Object Model）是微软的跨进程组件通信标准。每个COM对象通过唯一的128位CLSID（ClassIdentifier）标识，注册表结构如下：
HKEY_CLASSES_ROOT\CLSID\{xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx} ├── InprocServer32 → 指向DLL文件路径（内嵌服务器） ├── LocalServer32 → 指向EXE文件路径（本地服务器） ├── ProgID → 人类可读的程序标识符 └── ThreadingModel → 线程模型
二：劫持顺序
Windows按以下顺序查找COM对象：
HKEY_CURRENT_USER\Software\Classes\CLSID（用户级，优先）HKEY_CLASSES_ROOT\CLSID（HKCU与HKLM的合并视图）HKEY_LOCAL_MACHINE\Software\Classes\CLSID（系统级）
三：劫持类型
现有CLSID劫持：在HKCU创建同名CLSID覆盖HKLM配置
孤儿CLSID劫持：利用应用程序尝试加载不存在的COM对象
TreatAs重定向：修改TreatAs键指向恶意CLSID
TypeLib劫持：滥用类型库实现远程脚本执行
02
实战样本分析
先运行Procmon再点击样本进行捕获
注册表修改：
HKEY_CURRENT_USER\Software\Classes\CLSID\{b5f8350b-0548-48b1-a6ee-88bd00b4a5e7}
紧接着捕获到文件创建：
C:\Windows\System下有2个文件创建
03
注册表与文件取证
进入注册表发现默认值的数值路径与procmon捕获到的文件一致
打开C:\Windows\System，确实有2个文件
04
沙箱分析验证
将2个文件上传到微步云沙箱进行验证，2个文件都为COMpfun家族。
COMpfun是一个隶属于Turla APT组织的远程访问木马（RAT）家族，以创新的COM劫持技术著称。是最早系统性使用COM劫持的恶意软件之一
05
总结
COM劫持技术的隐蔽性和稳定性使其成为APT攻击中的首选持久化手段，但通过注册表监控、行为分析和应用控制，可以有效检测和防御此类威胁。
添加好友注明来意
公众号丨大仙安全说
VX丨weiqin_6666
长按关注
《往期阅读》
隐藏在所有进程背后的黑手：AppInit_DLLs 持久化机制深度拆解
注册表被“记事本”劫持？镜像劫持 + Winlogon 持久化
注册表被锁、任务管理器打不开？“Debugger=0”引发的
分享、在看与点赞，至少我要拥有一个吧
免责声明：
本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。
任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。
本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。
本文转载自：大仙安全说 weiqin
weiqin《从原理到实战：COM劫持持久化机制全解析》