T1027.009: 嵌入式载荷

摘要

攻击者可能将载荷嵌入其他文件中，以向防御方隐藏恶意内容。原本看似无害的文件（例如脚本和可执行文件）可能被滥用来携带和混淆恶意载荷及内容。在某些情况下，嵌入式载荷还可能使攻击者能够通过不影响数字签名和公证票据等执行控制来[颠覆信任控制](https://attack.mitre.org/techniques/T1553)。(Citation: Sentinel Labs) 攻击者可能将载荷嵌入各种文件格式中以隐藏载荷。(Citation: Microsoft Learn) 这与[隐写术](https://attack.mitre.org/techniques/T1027/003)类似，不过不涉及将恶意内容编织到与合法数字媒体格式相关的特定字节和模式中。(Citation: GitHub PSImage) 例如，已观察到攻击者将载荷嵌入到原本无害的二进制文件内部，或作为其叠加层。(Citation: Securelist Dtrack2) 还观察到攻击者将载荷（例如可执行文件和仅运行的脚本）嵌套在同一格式的文件内部。(Citation: SentinelLabs reversing run-only applescripts 2021) 嵌入的内容还可作为[进程注入](https://attack.mitre.org/techniques/T1055)载荷，用于感染无害的系统进程。(Citation: Trend Micro) 这些先嵌入后注入的载荷可能作为恶意软件模块的一部分，用于提供特定功能，例如加密 C2 通信以支持编排器模块。例如，嵌入式模块可能被注入默认浏览器，使攻击者随后能够通过网络进行通信。(Citation: Malware Analysis Report ComRAT)