T1070.010: 迁移恶意软件

摘要

载荷投递后，攻击者可能在受害者系统上复制同一恶意软件的副本，以移除其存在的证据和/或规避防御。将恶意软件载荷复制到新位置也可能与 [File Deletion](https://attack.mitre.org/techniques/T1070/004) 结合使用，以清理较旧的痕迹。 迁移恶意软件可能是许多旨在规避防御的操作的一部分。例如，攻击者可能复制和重命名载荷，以更好地融入本地环境(即 [Match Legitimate Resource Name or Location](https://attack.mitre.org/techniques/T1036/005))。(Citation: DFIR Report Trickbot June 2023)载荷也可能被重新放置，以针对 [File/Path Exclusions](https://attack.mitre.org/techniques/T1564/012) 以及与建立 [Persistence](https://attack.mitre.org/tactics/TA0003) 相关的特定位置。(Citation: Latrodectus APR 2024) 迁移恶意载荷还可能阻碍防御分析，尤其是将这些载荷与可能已生成告警或以其他方式引起防御者注意的较早事件(如 [User Execution](https://attack.mitre.org/techniques/T1204) 和 [Phishing](https://attack.mitre.org/techniques/T1566))分离。将载荷移动到目标目录不会更改创建时间戳，从而规避依赖于对该痕迹修改的检测逻辑(即 [Timestomp](https://attack.mitre.org/techniques/T1070/006))。