T1564.014: 扩展属性

摘要

攻击者可能滥用 macOS 和 Linux 上的扩展属性（xattrs）来隐藏其恶意数据，以逃避检测。扩展属性是 macOS 和 Linux 均使用的文件和目录元数据的键值对。它们无法通过 `Finder`、`ls` 或 `cat` 等标准工具看到，需要 `xattr`（macOS）或 `getfattr`（Linux）等实用工具进行检查。操作系统和应用程序使用 xattrs 进行标记、完整性检查和访问控制。在 Linux 上，xattrs 被组织到命名空间中，例如 `user.`（用户权限）、`trusted.`（root 权限）、`security.` 和 `system.`，每个命名空间都有特定的权限。在 macOS 上，xattrs 是没有命名空间前缀的扁平字符串，通常以 `com.apple.*` 为前缀（例如 `com.apple.quarantine`、`com.apple.metadata:_kMDItemUserTags`），并被 Gatekeeper 和 Spotlight 等系统功能使用。(Citation: Establishing persistence using extended attributes on Linux) 攻击者可能利用 xattrs，通过将第二阶段载荷嵌入合法文件的扩展属性中来实施攻击。在 macOS 上，可以使用 `xattr` 命令将载荷嵌入自定义属性中。单独的加载器可以使用 `xattr -p` 检索该属性，解码内容，并使用脚本解释器执行它。在 Linux 上，攻击者可能使用 `setfattr` 将载荷写入合法文件的 `user.` 命名空间。加载器脚本随后可以使用 `getfattr --only-values` 提取载荷，解码它，并使用 bash 或其他解释器执行它。在这两种情况下，由于主文件内容保持不变，不检查扩展属性的安全工具和完整性检查将观察到原始文件哈希，从而使恶意载荷得以逃避检测。(Citation: Low GroupIB xattrs nov 2024)