msiexec.exe的-Embedding参数具体用法及适用场景咨询

msiexec.exe -Embedding 参数说明 #

这个参数属于微软未对外公开的Windows Installer内部专用参数，具体用途和研判规则如下：

• 核心作用：专供Windows Installer服务实现COM组件嵌入式激活、按需安装、组件修复等内部逻辑使用，参数后跟随的十六进制字符串是对应MSI安装包的产品标识哈希值，用于定位需要加载的安装包资源。
• 正常触发场景：当系统调用通过MSI打包安装的COM组件、触发未安装功能的按需安装逻辑、或自动修复已损坏的MSI程序关联组件时，系统会自动生成带该参数的msiexec启动命令，普通用户无需手动调用该参数，因此官方公开的msiexec命令文档未收录该参数。

入侵场景下的研判要点

你观测到的样例命令：
C:\Windows\System32\MsiExec.exe -Embedding 35507F61C46FB5B70D1543A9D335C298B
可以通过以下特征判断是否为恶意行为：

• 正常场景下该进程的父进程通常为承载Windows Installer服务的svchost.exe进程、资源管理器explorer.exe或正规商业软件进程，参数后的十六进制哈希可以在HKEY_CLASSES_ROOT\Installer注册表路径下匹配到对应的合法MSI产品记录。
• 若出现父进程为可疑脚本进程、webshell进程、未知恶意进程，或哈希值无法匹配到合法MSI记录，或msiexec进程后续出现加载未知PE文件、外联恶意IP、写入敏感路径文件等行为，大概率为攻击者滥用msiexec白程序执行恶意MSI payload，属于常见的白利用攻击手法。

内容的提问来源于stack exchange，提问作者jh2014