T1561.002: 磁盘结构擦除

摘要

攻击者可能破坏或擦除硬盘上启动系统所必需的磁盘数据结构；其目标可能是特定的关键系统，也可能是在网络中大规模实施，以中断系统和网络资源的可用性。 攻击者可能试图通过覆盖主引导记录（MBR）或分区表等结构中存放的关键数据，使系统无法启动。(Citation: Symantec Shamoon 2012)(Citation: FireEye Shamoon Nov 2016)(Citation: Palo Alto Shamoon Nov 2016)(Citation: Kaspersky StoneDrill 2017)(Citation: Unit 42 Shamoon3 2018) 磁盘结构中包含的数据可能包括用于加载操作系统的初始可执行代码，或磁盘上文件系统分区的位置。如果这些信息不存在，计算机将无法在启动过程中加载操作系统，从而导致计算机不可用。[磁盘结构擦除](https://attack.mitre.org/techniques/T1561/002)可以单独执行，也可以在磁盘所有扇区都被擦除时，与[磁盘内容擦除](https://attack.mitre.org/techniques/T1561/001)一同执行。 在网络设备上，攻击者可能使用 [网络设备 CLI](https://attack.mitre.org/techniques/T1059/008) 命令（如 `format`）重新格式化文件系统。(Citation: format_cmd_cisco) 为了对目标组织造成最大影响，用于破坏磁盘结构的恶意软件可能具备类似蠕虫的特性，通过利用[有效账户](https://attack.mitre.org/techniques/T1078)、[操作系统凭据转储](https://attack.mitre.org/techniques/T1003)和 [SMB/Windows 管理员共享](https://attack.mitre.org/techniques/T1021/002)等其他技术在网络中传播。(Citation: Symantec Shamoon 2012)(Citation: FireEye Shamoon Nov 2016)(Citation: Palo Alto Shamoon Nov 2016)(Citation: Kaspersky StoneDrill 2017)