T1124: 系统时间发现

摘要

攻击者可能从本地或远程系统收集系统时间和/或时区设置。系统时间由服务设置和存储，例如 Windows 上的 Windows Time Service 或 macOS 上的 <code>systemsetup</code>。(Citation: MSDN System Time)(Citation: Technet Windows Time Service)(Citation: systemsetup mac time)这些时间设置也可能在企业网络中的系统和服务之间同步，通常通过域内的网络时间服务器完成。(Citation: Mac Time Sync)(Citation: linux system time) 系统时间信息可能以多种方式收集，例如在 Windows 上使用 [Net](https://attack.mitre.org/software/S0039) 执行 <code>net time \\hostname</code> 来收集远程系统上的系统时间。受害者的时区也可能从当前系统时间推断出来，或通过使用 <code>w32tm /tz</code> 收集。(Citation: Technet Windows Time Service)此外，攻击者可以通过诸如 <code>GetTickCount()</code> 之类的函数发现设备运行时间，以确定自系统启动以来已过去多长时间。(Citation: Virtualization/Sandbox Evasion) 在网络设备上，可以使用 `show clock detail` 等 [Network Device CLI](https://attack.mitre.org/techniques/T1059/008) 命令查看当前时间配置。(Citation: show_clock_detail_cisco_cmd)在 ESXi 服务器上，可以使用 `esxcli system clock get` 达到相同目的。 此外，系统调用(如 <code>time()</code>)已被用于收集 Linux 设备上的当前时间。(Citation: MAGNET GOBLIN)在 macOS 系统上，攻击者可能使用诸如 <code>systemsetup -gettimezone</code> 或 <code>timeIntervalSinceNow</code> 之类的命令来收集当前时区信息或当前日期和时间。(Citation: System Information Discovery Technique)(Citation: ESET DazzleSpy Jan 2022) 这些信息可能对执行其他技术有用，例如使用 [Scheduled Task/Job](https://attack.mitre.org/techniques/T1053) 执行文件(Citation: RSA EU12 They're Inside)，或基于时区发现位置信息以协助锁定受害者目标(即 [System Location Discovery](https://attack.mitre.org/techniques/T1614))。攻击者还可能利用对系统时间的了解作为定时炸弹的一部分，或延迟执行直到指定的日期/时间。(Citation: AnyRun TimeBomb)