T1104: 多级通道

摘要

攻击者可能为命令与控制创建多个级(stage)，在不同条件下或针对特定功能使用。使用多个级可能混淆命令与控制通道，使检测更加困难。 远程访问工具将回调第一级命令与控制服务器以获取指令。第一级可能具有自动化能力，可收集基本主机信息、更新工具并上传额外文件。此时可以上传第二个远程访问工具(RAT)，以将主机重定向到第二级命令与控制服务器。第二级通常功能更完整，允许攻击者通过反向 shell 和额外的 RAT 功能与系统交互。 不同的级很可能单独托管，基础设施不重叠。加载器还可能具有备用的一级回调或 [Fallback Channels](https://attack.mitre.org/techniques/T1008)，以防原始一级通信路径被发现并阻断。