T1078.001: 默认账户

摘要

攻击者可能获取并滥用默认账户的凭证，作为获得初始访问、持久化、权限提升或防御规避的手段。默认账户是内置于操作系统的账户，例如 Windows 系统上的 Guest 或 Administrator 账户。默认账户还包括其他类型的系统、软件或设备上出厂/提供商设置的账户，包括 AWS 中的 root 用户账户、ESXi 中的 root 用户账户以及 Kubernetes 中的默认服务账户。(Citation: Microsoft Local Accounts Feb 2019)(Citation: AWS Root User)(Citation: Threat Matrix for Kubernetes) 默认账户不仅限于客户端机器；相反，它们还包括为网络设备和计算机应用程序等设备预设的账户，无论是内部的、开源的还是商业的。出厂时预设了用户名和密码组合的设备对安装后不更改它们的组织构成严重威胁，因为它们很容易成为攻击者的目标。类似地，攻击者也可能利用公开披露或窃取的 [Private Keys](https://attack.mitre.org/techniques/T1552/004) 或凭证材料，通过 [Remote Services](https://attack.mitre.org/techniques/T1021) 合法地连接到远程环境。(Citation: Metasploit SSH Module) 默认账户可能在初始设置之后通过将其与另一应用程序连接或集成而在系统上创建。例如，当 ESXi 服务器连接到 vCenter 服务器时，会在 ESXi 服务器上创建一个名为 `vpxuser` 的默认特权账户。如果威胁行为者能够攻陷此账户的凭证(例如，通过在 vCenter 主机上 [Exploitation for Credential Access](https://attack.mitre.org/techniques/T1212))，他们就能够访问 ESXi 服务器。(Citation: Google Cloud Threat Intelligence VMWare ESXi Zero-Day 2023)(Citation: Pentera vCenter Information Disclosure)