T1219.001: IDE 隧道

摘要

攻击者可能滥用具有远程开发功能的集成开发环境 (IDE) 软件，在网络内的目标系统上建立交互式命令与控制通道。IDE 隧道将 SSH、端口转发、文件共享和调试合并到单个安全连接中，让开发人员如同在本地一样在远程系统上工作。与 SSH 和端口转发不同，IDE 隧道封装整个会话，并可能在使用 SSH 的同时使用专有隧道协议，使攻击者能够融入合法的开发工作流。一些 IDE（如 Visual Studio Code）还提供 CLI 工具（例如 `code tunnel`），攻击者可能使用这些工具以编程方式建立隧道并生成用于远程访问的 Web 可访问 URL。这些隧道可以通过 GitHub 等账户进行认证，使攻击者能够通过合法的开发者门户控制被入侵的系统。(Citation: sentinelone operationDigitalEye Dec 2024)(Citation: Unit42 Chinese VSCode 06 September 2024)(Citation: Thornton tutorial VSCode shell September 2023) 此外，攻击者可能利用 IDE 隧道实现持久化。一些 IDE（如 Visual Studio Code 和 JetBrains）支持自动重连。攻击者可能配置 IDE 在启动时自动运行，从而在执行时重新建立隧道。被入侵的开发人员机器还可能被利用为跳板主机，以进一步深入网络。 IDE 隧道工具可能是内置的，或作为 [IDE 扩展](https://attack.mitre.org/techniques/T1176/002)安装。