T1027.015: 压缩

摘要

攻击者可能使用压缩来混淆其载荷或文件。ZIP、gzip、7z 和 RAR 等压缩文件格式可以将多个文件压缩并归档在一起，使文件传输更容易、更快速。除了压缩文件外，攻击者还可能直接压缩 shellcode——例如，为了将其存储在 Windows 注册表项中（即[无文件存储](https://attack.mitre.org/techniques/T1027/011)）。(Citation: Trustwave Pillowmint June 2020) 为了进一步规避检测，攻击者可能将多个 ZIP 文件合并为一个归档。这种拼接过程创建了一个看似是单个归档、但实际上包含嵌入归档中央目录的归档。某些 ZIP 读取器（例如 7zip）可能无法识别拼接的 ZIP 文件，从而错过恶意载荷的存在。(Citation: Perception Point) 文件归档可以作为一封[鱼叉式钓鱼附件](https://attack.mitre.org/techniques/T1566/001)通过电子邮件发送。攻击者已将恶意载荷作为归档文件发送，以鼓励用户与其交互并将恶意载荷提取到其系统上（即[恶意文件](https://attack.mitre.org/techniques/T1204/002)）。(Citation: NTT Security Flagpro new December 2021) 然而，某些文件压缩工具（例如 7zip）可用于生成自解压归档。攻击者可能发送自解压归档，以隐藏其载荷的功能并在无需用户执行多个操作的情况下启动它。(Citation: The Hacker News) [压缩](https://attack.mitre.org/techniques/T1027/015)可与[加密/编码文件](https://attack.mitre.org/techniques/T1027/013)结合使用，即压缩文件被加密并受密码保护。