T1204: 用户执行

摘要

攻击者可能依赖用户的特定操作来获得执行。用户可能受到社会工程影响，通过例如打开恶意文档文件或链接来执行恶意代码。这些用户操作通常会被观察为[网络钓鱼](https://attack.mitre.org/techniques/T1566)形式的后续行为。 虽然[用户执行](https://attack.mitre.org/techniques/T1204)经常发生在初始访问后不久，但它也可能发生在入侵的其他阶段，例如攻击者将文件放在共享目录或用户桌面上，期望用户点击它。此活动也可能在[内部鱼叉式网络钓鱼](https://attack.mitre.org/techniques/T1534)后不久被观察到。 攻击者还可能欺骗用户执行如下操作： * 启用[远程访问工具](https://attack.mitre.org/techniques/T1219)，允许攻击者直接控制系统 * 在其浏览器中运行恶意 JavaScript，使攻击者能够[窃取 Web 会话 Cookie](https://attack.mitre.org/techniques/T1539)(Citation: Talos Roblox Scam 2023)(Citation: Krebs Discord Bookmarks 2023) * 下载并执行恶意软件以进行[用户执行](https://attack.mitre.org/techniques/T1204) * 强迫用户手动复制、粘贴并执行恶意代码(Citation: Reliaquest-execution)(Citation: proofpoint-selfpwn) 例如，技术支持诈骗可以通过[网络钓鱼](https://attack.mitre.org/techniques/T1566)、语音钓鱼或各种形式的用户交互来实现。攻击者可以结合使用这些方法，例如伪造并推广用于将受害者引导到恶意网站的免费电话号码或呼叫中心，以投递和执行包含恶意软件或[远程访问工具](https://attack.mitre.org/techniques/T1219)的载荷。(Citation: Telephone Attack Delivery)