T1001.003: 协议或服务冒充

摘要

攻击者可能冒充合法协议或 Web 服务流量，以伪装命令与控制活动并挫败分析工作。通过冒充合法协议或 Web 服务，攻击者可以使其命令与控制流量混入合法网络流量之中。 攻击者可能冒充伪造的 SSL/TLS 握手，使后续流量看起来像经过 SSL/TLS 加密，从而可能干扰某些安全工具，或使流量看起来与受信任实体相关。 攻击者还可能利用合法协议来冒充预期的 Web 流量或受信任服务。例如，攻击者可能操纵 HTTP 头、URI 端点、SSL 证书和传输的数据，以伪装 C2 通信或模仿 Gmail、Google Drive 和 Yahoo Messenger 等合法服务。(Citation: ESET Okrum July 2019)(Citation: Malleable-C2-U42)