Bár a kiberfenyegetések technikái folyamatosan fejlődnek – rootkitekkel, zero-day sebezhetőségekkel és rejtett C2 (Command and Control) csatornákkal – a hagyományos technikák, mint például a Windows Scheduled Task, továbbra is széles körben alkalmazott és hatékony módszerek a támadók körében. A 2025-ös év biztonsági elemzései is azt mutatják, hogy az egyszerű, natív Windows-funkciók gyakran hatékonyabbak, mint a bonyolult, könnyen észlelhető exploitok különösen akkor, ha a támadó célja a hosszan tartó jelenlét és a rejtve maradás.
Miért népszerűek az ütemezett feladatok a támadók körében?
A Windows rendszerbe beépített Task Scheduler lehetővé teszi programok, szkriptek vagy parancsok automatizált futtatását különféle események hatására:
- Időalapú (pl. naponta 03:00-kor)
- Rendszereseményhez kötött (pl. felhasználó bejelentkezése, rendszerindítás)
- Folyamatosan ismétlődő időközönként (pl. 5 percenként)
Támadási célok:
- Perzisztencia (állandó jelenlét biztosítása)
- Ransomware elindítása
- Hálózaton belüli oldalirányú mozgás (lateral movement)
- Initial hozzáférés értékesítése más fenyegetési szereplőknek
Támadási technika
A feladatok létrehozása több módon is történhet, mindegyik eltérő forenzikus nyomokat hagy maga után, különösen a következő komponensek:
- Trigger – mikor indul a feladat (idő, esemény)
- Action – mit futtat (parancs, szkript, bináris)
- Principal – melyik felhasználói kontextusban (pl. SYSTEM)
- XML-fájl – minden feladat részlete megtalálható itt:
C[:]\Windows\System32\Tasks\
A tapasztalt támadók nem feltétlenül új feladatokat hoznak létre, hanem:
- Meglévő ütemezett feladatokat módosítanak, pl. egy legitim naplózási feladatba illesztenek be kártékony tevékenységet.
- Törlik a TaskScheduler naplókat, hogy eltüntessék a nyomokat.
- Rejtett könyvtárakba helyezik a végrehajtandó fájlokat, amelyek kívül esnek a hagyományos ellenőrzési folyamatokon.
Kiterjedt támadások: feladatok szétosztása hálózaton
A támadók nem csupán egy gépre korlátozzák a jelenlétet:
- Group Policy Object (GPO) módosításokkal domain szinten terjeszthető kártékony Scheduled Task-ot használhatnak.
- Ransomware támadók gyakran ütemezett feladatokat használnak több száz végpont egyidejű titkosítására: pl. az ADMIN$ vagy SYSVOL megosztásokról indított futtatható fájlokkal.
Forenzikus vizsgálat és detekció
A védekezés kulcsa a viselkedésalapú elemzés és a naplózás átfogó monitorozása.
Fontos eseményazonosítók:
| Esemény | Napló | Jelentés |
| 4698 | Security log (Advanced Audit szükséges) | Új feladat létrehozása |
| 106 | Microsoft-Windows-TaskScheduler/Operational | Feladat regisztrálása |
| 200-201 | Operational log | Feladat futtatása, befejezése |
Vizsgálati fókuszpontok:
- A feladat elérési útja (pl. %T[E]MP%, C[:]\Users\Public – gyanús elérési út)
- A futtatott parancs vagy bináris
- Rövid időközök (pl. PT5M, azaz 5 percenkénti ismétlés)
- Nem szabványos név (pl. „Windows Update Logger” SYSTEM kontextusban)
Védekezési javaslatok szervezetek számára
- Engedélyezett naplózás és log forwarding
- EDR és Sysmon telemetria használata
- Alapfeladatok baseline-olása
- Rendszeres audit
A Windows ütemezett feladatai egyszerűségük ellenére továbbra is az egyik leghatékonyabb eszköz a támadók eszköztárában. A támadók kihasználják azt a tényt, hogy ez a mechanizmus teljesen legitimnek tűnik, és így gyakran kijátssza az automatizált védelmi rendszereket. A Scheduled Task-ok rendszeres vizsgálata és nyomon követése minden incidenskezelési és megelőzési stratégiában kulcsfontosságú marad, még a legmodernebb fenyegetések idején is.