T1567.004: 通过 Webhook 外泄

摘要

攻击者可能将数据外泄至 webhook 端点，而不是通过其主要命令与控制通道。Webhook 是一种简单的机制，允许服务器通过 HTTP/S 将数据推送到客户端，而无需客户端持续轮询服务器。(Citation: RedHat Webhooks) 许多公共和商业服务（如 Discord、Slack 和 `webhook.site`）支持创建可供其他服务（如 Github、Jira 或 Trello）使用的 webhook 端点。(Citation: Discord Intro to Webhooks) 当关联的服务发生变化时（例如推送仓库更新或修改工单），这些服务会自动将数据发布到 webhook 端点，以供消费应用程序使用。 攻击者可能将攻击者拥有的环境与受害者拥有的 SaaS 服务关联，以实现对电子邮件、聊天消息和其他数据的重复[自动化外泄](https://attack.mitre.org/techniques/T1020)。(Citation: Push Security SaaS Attacks Repository Webhooks) 或者，攻击者可以不将 webhook 端点关联到某个服务，而是手动将暂存的数据直接发布到该 URL 以进行外泄。(Citation: Microsoft SQL Server) 对 webhook 端点的访问通常通过 HTTPS 进行，这为攻击者提供了额外的保护层。如果 webhook 端点指向常用的 SaaS 应用程序或协作服务，利用 webhook 进行外泄还可以混入正常的网络流量中。(Citation: CyberArk Labs Discord)(Citation: Talos Discord Webhook Abuse)(Citation: Checkmarx Webhooks)