T1531: 账户访问移除

摘要

攻击者可能通过阻止合法用户使用其账户来中断系统和网络资源的可用性。账户可能被删除、锁定或被操纵（例如：更改凭据、撤销对 SharePoint 等 SaaS 平台的权限）以移除对账户的访问。(Citation: Obsidian Security SaaS Ransomware June 2023) 攻击者随后还可能注销和/或执行[系统关机/重启](https://attack.mitre.org/techniques/T1529)，以使恶意更改生效。(Citation: CarbonBlack LockerGoga 2019)(Citation: Unit42 LockerGoga 2019) 在 Windows 中，攻击者可能使用 [Net](https://attack.mitre.org/software/S0039) 实用工具、<code>Set-LocalUser</code> 和 <code>Set-ADAccountPassword</code> [PowerShell](https://attack.mitre.org/techniques/T1059/001) cmdlet 来修改用户账户。账户也可能通过组策略被禁用。在 Linux 中，可使用 <code>passwd</code> 实用工具更改密码。在 ESXi 服务器上，可通过 esxcli（`system account set`、`system account remove`）移除或修改账户。 使用勒索软件或类似攻击的攻击者可能首先执行此行为及其他影响行为，如[数据销毁](https://attack.mitre.org/techniques/T1485)和[毁损](https://attack.mitre.org/techniques/T1491)，以在完成[为影响而加密数据](https://attack.mitre.org/techniques/T1486)目标之前阻碍事件响应/恢复。