T1489: 服务停止

摘要

攻击者可能停止或禁用系统上的服务，使这些服务对合法用户不可用。停止关键服务或进程可能抑制或停止对事件的响应，或有助于攻击者破坏环境的总体目标。(Citation: Talos Olympic Destroyer 2018)(Citation: Novetta Blockbuster) 攻击者可能通过禁用对组织高度重要的单个服务来实现此目的，例如 <code>MSExchangeIS</code>，这将使 Exchange 内容无法访问。(Citation: Novetta Blockbuster) 在某些情况下，攻击者可能停止或禁用许多或所有服务，使系统无法使用。(Citation: Talos Olympic Destroyer 2018) 服务或进程在运行时可能不允许修改其数据存储。攻击者可能停止服务或进程，以便对 Exchange 和 SQL Server 等服务的数据存储执行[数据破坏](https://attack.mitre.org/techniques/T1485)或[为造成影响而加密数据](https://attack.mitre.org/techniques/T1486)，或对托管在 ESXi 基础设施上的虚拟机执行此类操作。(Citation: SecureWorks WannaCry Analysis)(Citation: Crowdstrike Hypervisor Jackpotting Pt 2 2021) 威胁行为者还可能在云环境中禁用或停止服务。例如，通过利用 AWS 中的 `DisableAPIServiceAccess` API，威胁行为者可能阻止该服务在 AWS Organization 中的新账户上创建服务关联角色。(Citation: Datadog Security Labs Cloud Persistence 2025)(Citation: AWS DisableAWSServiceAccess)