T1564.001: 隐藏文件和目录

摘要

攻击者可能将文件和目录设置为隐藏，以逃避检测机制。为防止普通用户意外更改系统上的特殊文件，大多数操作系统都有“隐藏”文件的概念。当用户通过图形界面浏览文件系统或在命令行中使用普通命令时，这些文件不会显示。用户必须明确要求显示隐藏文件，这可以通过一系列图形用户界面（GUI）提示，或使用命令行开关（Windows 的 <code>dir /a</code> 以及 Linux 和 macOS 的 <code>ls –a</code>）来实现。 在 Linux 和 Mac 上，用户只需在文件或文件夹名称的第一个字符处放置“.”即可将特定文件标记为隐藏 (Citation: Sofacy Komplex Trojan) (Citation: Antiquated Mac Malware)。以句点“.”开头的文件和文件夹默认在 Finder 应用程序以及“ls”等标准命令行工具中不可见。用户必须专门更改设置才能查看这些文件。 macOS 上的文件还可以使用 UF_HIDDEN 标志进行标记，这会阻止它们在 Finder.app 中被看到，但仍允许在 Terminal.app 中看到 (Citation: WireLurker)。在 Windows 上，用户可以使用 attrib.exe 二进制文件将特定文件标记为隐藏。许多应用程序会创建这些隐藏文件和文件夹来存储信息，以免弄乱用户的工作区。例如，SSH 实用程序会创建一个隐藏的 .ssh 文件夹，其中包含用户已知的主机和密钥。 此外，攻击者可能以某种方式命名文件，使文件被隐藏，例如仅用一个“空格”字符来命名文件。 攻击者可以利用这一点，在系统任意位置隐藏文件和文件夹，从而逃避未包含隐藏文件调查的普通用户或系统分析。