T1486: 为造成影响而加密数据

摘要

攻击者可能加密目标系统上或网络中大量系统上的数据，以中断对系统和网络资源的可用性。他们可能尝试通过加密本地和远程驱动器上的文件或数据，并保留对解密密钥的访问权限，使存储的数据无法访问。这样做可能是为了从受害者处换取解密或解密密钥以获取金钱补偿（勒索软件），或在密钥未保存或传输的情况下使数据永久无法访问。(Citation: US-CERT Ransomware 2016)(Citation: FireEye WannaCry 2017)(Citation: US-CERT NotPetya 2017)(Citation: US-CERT SamSam 2018) 在勒索软件的情况下，通常会加密常见用户文件，如 Office 文档、PDF、图像、视频、音频、文本和源代码文件（并且常常重命名和/或用特定文件标记进行标记）。攻击者可能需要首先采用其他行为，例如[文件和目录权限修改](https://attack.mitre.org/techniques/T1222)或[系统关机/重启](https://attack.mitre.org/techniques/T1529)，以解锁和/或获得操纵这些文件的访问权限。(Citation: CarbonBlack Conti July 2020) 在某些情况下，攻击者可能加密关键系统文件、磁盘分区和 MBR。(Citation: US-CERT NotPetya 2017) 攻击者还可能加密托管在 ESXi 或其他管理程序上的虚拟机。(Citation: Crowdstrike Hypervisor Jackpotting Pt 2 2021) 为最大化对目标组织的影响，专为加密数据而设计的恶意软件可能具有类似蠕虫的功能，通过利用[有效账户](https://attack.mitre.org/techniques/T1078)、[操作系统凭据转储](https://attack.mitre.org/techniques/T1003)和 [SMB/Windows 管理共享](https://attack.mitre.org/techniques/T1021/002)等其他攻击技术在网络中传播。(Citation: FireEye WannaCry 2017)(Citation: US-CERT NotPetya 2017) 加密恶意软件还可能利用[内部涂改](https://attack.mitre.org/techniques/T1491/001)，例如更改受害者壁纸或 ESXi 服务器登录消息，或通过向连接的打印机发送勒索信或其他消息（称为“打印轰炸”）来恐吓受害者。(Citation: NHS Digital Egregor Nov 2020)(Citation: Varonis) 在云环境中，被入侵账户内的存储对象也可能被加密。(Citation: Rhino S3 Ransomware Part 1) 例如，在 AWS 环境中，攻击者可能利用 AWS 的带客户提供密钥的服务器端加密 (SSE-C) 等服务来加密数据。(Citation: Halcyon AWS Ransomware 2025)