T1105: 入口工具传输

摘要

攻击者可能将工具或其他文件从外部系统传输到已沦陷环境中。工具或文件可能通过命令与控制通道，或通过诸如 [ftp](https://attack.mitre.org/software/S0095) 等替代协议，从外部由攻击者控制的系统复制到受害者网络。一旦就位，攻击者还可能在已沦陷环境内在受害者设备之间传输/传播工具(即 [Lateral Tool Transfer](https://attack.mitre.org/techniques/T1570))。 在 Windows 上，攻击者可能使用各种实用程序下载工具，例如 `copy`、`finger`、[certutil](https://attack.mitre.org/software/S0160)，以及 [PowerShell](https://attack.mitre.org/techniques/T1059/001) 命令，如 <code>IEX(New-Object Net.WebClient).downloadString()</code> 和 <code>Invoke-WebRequest</code>。在 Linux 和 macOS 系统上，也存在各种实用程序，例如 `curl`、`scp`、`sftp`、`tftp`、`rsync`、`finger` 和 `wget`。(Citation: t1105_lolbas)其中许多工具(如 `wget`、`curl` 和 `scp`)在 ESXi 上也存在。下载文件后，威胁行为者可能尝试通过检查其哈希值(例如通过 `certutil -hashfile`)来验证其完整性。(Citation: Google Cloud Threat Intelligence COSCMICENERGY 2023) 攻击者还可能滥用安装程序和包管理器(如 `yum` 或 `winget`)向受害者主机下载工具。攻击者还滥用了文件应用程序功能，例如 Windows 的 `search-ms` 协议处理程序，通过由 [User Execution](https://attack.mitre.org/techniques/T1204) 调用的远程文件搜索向受害者投递恶意文件(通常是在与 [Phishing](https://attack.mitre.org/techniques/T1566) 诱饵交互之后)。(Citation: T1105: Trellix_search-ms) 文件还可以使用各种 [Web Service](https://attack.mitre.org/techniques/T1102) 以及受害者系统上原生或原本就存在的工具进行传输。(Citation: PTSecurity Cobalt Dec 2016)在某些情况下，攻击者可能能够利用在基于 Web 的客户端与本地客户端之间同步的服务(如 Dropbox 或 OneDrive)，将文件传输到受害者系统上。例如，通过攻陷云账户并登录该服务的 Web 门户，攻击者可能能够触发自动同步过程，将文件传输到受害者的机器上。(Citation: Dropbox Malware Sync)