T1090.003: 多跳代理

摘要

攻击者可能将多个代理链接在一起，以掩饰恶意流量的来源。通常，防御者能够识别进入其网络之前流量经过的最后一个代理；防御者可能能够也可能无法识别最后一跳代理之前的任何先前代理。此技术通过要求防御者追踪经过若干代理的恶意流量以识别其来源，使识别恶意流量的原始来源变得更加困难。 例如，攻击者可能构建或使用洋葱路由网络——例如公开可用的 [Tor](https://attack.mitre.org/software/S0183) 网络——通过受感染群体传输加密的 C2 流量，允许与网络内的任何设备通信。(Citation: Onion Routing)攻击者还可能使用由虚拟专用服务器(VPS)、物联网(IoT)设备、智能设备和生命周期终止路由器组成的操作中继盒(ORB)网络来混淆其操作。(Citation: ORB Mandiant) 在网络基础设施的情况下，攻击者可能利用多个受感染设备创建多跳代理链(即 [Network Devices](https://attack.mitre.org/techniques/T1584/008))。通过利用路由器上的 [Patch System Image](https://attack.mitre.org/techniques/T1601/001)，攻击者可以向受影响的网络设备添加自定义代码，从而在这些节点之间实现洋葱路由。此方法依赖于 [Network Boundary Bridging](https://attack.mitre.org/techniques/T1599) 方法，允许攻击者跨越 Internet 边界的受保护网络边界进入组织的广域网(WAN)。可以使用诸如 ICMP 之类的协议作为传输。 类似地，攻击者可能滥用点对点(P2P)和面向区块链的基础设施在去中心化的对等节点网络之间实现路由。(Citation: NGLite Trojan)