T1518.002: 备份软件发现

摘要

攻击者可能尝试获取系统上已安装的备份软件或配置的列表。攻击者可能使用此信息来塑造后续行为，例如[数据破坏](https://attack.mitre.org/techniques/T1485)、[抑制系统恢复](https://attack.mitre.org/techniques/T1490)或[为造成影响而加密数据](https://attack.mitre.org/techniques/T1486)。 可用于获取安全软件信息的命令包括 [netsh](https://attack.mitre.org/software/S0108)、配合 [Reg](https://attack.mitre.org/software/S0075) 的 `reg query`、配合 [cmd](https://attack.mitre.org/software/S0106) 的 `dir`，以及 [Tasklist](https://attack.mitre.org/software/S0057)，但发现行为的其他指标可能更特定于攻击者正在寻找的软件或安全系统类型，例如 Veeam、Acronis、Dropbox 或 Paragon。(Citation: Symantec Play Ransomware 2023)