T1564.011: 忽略进程中断

摘要

攻击者可能通过执行对进程中断信号隐藏的命令来逃避防御机制。许多操作系统使用信号来传递消息以控制进程行为。命令解释器通常包含特定的命令/标志来忽略错误和其他挂起，例如当活动会话的用户注销时。(Citation: Linux Signal Man) 防御工具和/或分析人员也可能使用这些中断信号来暂停或终止指定的正在运行的进程。 攻击者可能使用 `nohup`、[PowerShell](https://attack.mitre.org/techniques/T1059/001) `-ErrorAction SilentlyContinue` 或类似命令调用进程，这些命令可能不受挂起影响。(Citation: nohup Linux Man)(Citation: Microsoft PowerShell SilentlyContinue) 这可能使恶意命令和恶意软件能够在本应终止其执行的系统事件（例如用户注销或其 C2 网络连接被终止）中继续执行。 对进程中断信号隐藏可能使恶意软件继续执行，但与 [Trap](https://attack.mitre.org/techniques/T1546/005) 不同，这不会建立[持久化](https://attack.mitre.org/tactics/TA0003)，因为进程一旦真正被终止就不会被重新调用。