T1036.005: 匹配合法资源名称或位置

摘要

攻击者在命名/放置合法文件、注册表项或其他资源时，可能匹配或近似其名称或位置。这样做是为了规避防御和观察。 这可以通过将可执行文件放置在通常受信任的目录（例如 System32 下）或为其取合法、受信任程序的名称（例如 `svchost.exe`）来实现。或者，可以给 Windows 注册表项取与合法程序所用项非常近似的名称。在容器化环境中，威胁行为者可能在受信任的命名空间中创建资源，或创建匹配容器 Pod 或集群命名约定的资源。(Citation: Aquasec Kubernetes Backdoor 2023)