T1036.009: 破坏进程树

摘要

攻击者可能尝试通过修改所执行恶意软件的父进程 ID（PPID）来规避基于进程树的分析。如果终端保护软件利用“父子”关系进行检测，破坏此关系可能导致攻击者的行为不再与先前的进程树活动相关联。在基于 Unix 的系统上，破坏此进程树是管理员使用脚本和程序执行软件的常见做法。(Citation: 3OHA double-fork 2022) 在 Linux 系统上，攻击者可能执行一系列[原生 API](https://attack.mitre.org/techniques/T1106) 调用来更改恶意软件的进程树。例如，攻击者可以在不带任何参数的情况下执行其载荷，调用 `fork()` API 调用两次，然后让父进程退出。这会创建一个没有父进程的孙进程，该进程立即被 `init` 系统进程（PID 1）收养，从而成功地将攻击者载荷的执行与其先前的进程树断开。 另一个示例是使用 “daemon” 系统调用脱离当前父进程并在后台运行。(Citation: Sandfly BPFDoor 2022)(Citation: Microsoft XorDdos Linux Stealth 2022)