T1552.004: 私钥

摘要

攻击者可能在受感染的系统上搜索私钥证书文件以查找不安全存储的凭据。私有加密密钥和证书用于身份验证、加密/解密和数字签名。(Citation: Wikipedia Public Key Crypto) 常见的密钥和证书文件扩展名包括：.key、.pgp、.gpg、.ppk.、.p12、.pem、.pfx、.cer、.p7b、.asc。 攻击者还可能查看常见的密钥目录，例如在基于 * nix 的系统上 <code>~/.ssh</code> 中的 SSH 密钥，或 Windows 上的 <code>C:&#92;Users&#92;(username)&#92;.ssh&#92;</code>。攻击者工具还可能在受感染的系统中搜索与加密密钥和证书相关的文件扩展名。(Citation: Kaspersky Careto)(Citation: Palo Alto Prince of Persia) 当设备注册到 Entra ID 时，会生成设备密钥和传输密钥，并用于验证设备的身份。(Citation: Microsoft Primary Refresh Token) 有权访问设备的攻击者可能能够导出密钥以冒充该设备。(Citation: AADInternals Azure AD Device Identities) 在网络设备上，私钥可以通过[网络设备 CLI](https://attack.mitre.org/techniques/T1059/008) 命令（如 `crypto pki export`）导出。(Citation: cisco_deploy_rsa_keys) 有些私钥需要密码或口令才能操作，因此攻击者还可能使用[输入捕获](https://attack.mitre.org/techniques/T1056)进行键盘记录，或尝试离线[暴力破解](https://attack.mitre.org/techniques/T1110)口令。这些私钥可用于向 [远程服务](https://attack.mitre.org/techniques/T1021)（如 SSH）进行身份验证，或用于解密其他收集的文件（如电子邮件）。