T1027.010: 命令混淆

摘要

攻击者可能在命令执行期间混淆内容以阻碍检测。命令行混淆是一种使命令和脚本中的字符串和模式更难以进行签名和分析的方法。此类混淆可以包含在由投递载荷执行的命令中（例如[钓鱼](https://attack.mitre.org/techniques/T1566)和[路过式入侵](https://attack.mitre.org/techniques/T1189)），或通过[命令与脚本解释器](https://attack.mitre.org/techniques/T1059)交互式执行。(Citation: Akamai JS)(Citation: Malware Monday VBE) 例如，攻击者可能滥用利用各种符号和转义字符（例如空格、`^`、`+`、`$` 和 `%`）的语法，使命令在保持相同预期功能的同时难以分析。(Citation: RC PowerShell) 许多语言支持以 base64 或 URL 编码形式的内置混淆。(Citation: Microsoft PowerShellB64) 攻击者还可能通过字符串拆分（`“Wor”+“d.Application”`）、字符顺序和大小写（`rev <<<'dwssap/cte/ tac'`）、通配（globbing）（`mkdir -p '/tmp/:&$NiA'`）以及各种涉及通过令牌/环境变量/输入流传递字符串的技巧，手动实现命令混淆。(Citation: Bashfuscator Command Obfuscators)(Citation: FireEye Obfuscation June 2017) 攻击者还可能使用目录遍历等技巧混淆对命令所调用二进制文件的引用（`C:\voi\pcw\..\..\Windows\tei\qs\k\..\..\..\system32\erool\..\wbem\wg\je\..\..\wmic.exe shadowcopy delete`）。(Citation: Twitter Richard WMIC) 诸如 <code>Invoke-Obfuscation</code> 和 <code>Invoke-DOSfucation</code> 之类的工具也已被用于混淆命令。(Citation: Invoke-DOSfuscation)(Citation: Invoke-Obfuscation)