T1561.001: 磁盘内容擦除

摘要

攻击者可能擦除特定系统上或网络中大量系统的存储设备内容，以中断系统和网络资源的可用性。 攻击者可能部分或完全覆盖存储设备的内容，使数据无法通过存储接口恢复。(Citation: Novetta Blockbuster)(Citation: Novetta Blockbuster Destructive Malware)(Citation: DOJ Lazarus Sony 2018) 攻击者具有破坏意图时，可能不是擦除特定磁盘结构或文件，而是擦除磁盘内容的任意部分。要擦除磁盘内容，攻击者可能获取对硬盘的直接访问权限，以使用随机数据覆盖任意大小的磁盘部分。(Citation: Novetta Blockbuster Destructive Malware) 还观察到攻击者利用诸如 [RawDisk](https://attack.mitre.org/software/S0364) 之类的第三方驱动程序来直接访问磁盘内容。(Citation: Novetta Blockbuster)(Citation: Novetta Blockbuster Destructive Malware) 此行为不同于[数据销毁](https://attack.mitre.org/techniques/T1485)，因为擦除的是磁盘的各个部分而非单个文件。 在以全网络可用性中断为目标的行动中，为最大限度地对目标组织造成影响，用于擦除磁盘内容的恶意软件可能具有蠕虫式特征，通过利用额外的技术（如[有效账户](https://attack.mitre.org/techniques/T1078)、[操作系统凭据转储](https://attack.mitre.org/techniques/T1003)和 [SMB/Windows 管理共享](https://attack.mitre.org/techniques/T1021/002)）在网络中传播。(Citation: Novetta Blockbuster Destructive Malware)