T1583.001: 域名

摘要

攻击者可能获取可在目标定位期间使用的域名。域名是用于表示一个或多个 IP 地址的人类可读名称。它们可以购买，或者在某些情况下可以免费获取。 攻击者可能将获取的域名用于各种目的，包括[钓鱼](https://attack.mitre.org/techniques/T1566)、[路过式入侵](https://attack.mitre.org/techniques/T1189)和命令与控制。(Citation: CISA MSS Sep 2020) 攻击者可能选择与合法域名相似的域名，包括使用同形异义字符或使用不同的顶级域（TLD）。(Citation: FireEye APT28)(Citation: PaypalScam) 域名抢注可能用于协助通过[路过式入侵](https://attack.mitre.org/techniques/T1189)投递载荷。攻击者还可能使用国际化域名（IDN）和不同的字符集（例如西里尔文、希腊文等）来执行“IDN 同形异义攻击”，创建视觉上相似的仿冒域名，用于向受害者机器投递恶意软件。(Citation: CISA IDN ST05-016)(Citation: tt_httrack_fake_domains)(Citation: tt_obliqueRAT)(Citation: httrack_unhcr)(Citation: lazgroup_idn_phishing) 不同的 URI/URL 也可能被动态生成，以唯一地向受害者提供恶意内容（包括一次性、单次使用的域名）。(Citation: iOS URL Scheme)(Citation: URI)(Citation: URI Use)(Citation: URI Unique) 攻击者还可能获取并重新利用过期域名，这些域名可能因现有声誉/历史而已被防御者列入允许列表/信任列表。(Citation: Categorisation_not_boundary)(Citation: Domain_Steal_CC)(Citation: Redirectors_Domain_Fronting)(Citation: bypass_webproxy_filtering) 每个域名注册商都维护一个可公开查看的数据库，显示每个已注册域名的联系信息。隐私 WHOIS 服务显示替代信息，例如其自己的公司数据，而不是域名所有者。攻击者可能使用此类隐私 WHOIS 服务来掩盖有关所购买域名所有者的信息。攻击者还可能通过使用不同的注册信息和在不同的域名注册商处购买域名，进一步干扰对其基础设施的追踪。(Citation: Mandiant APT1) 除了合法购买域名外，攻击者还可能在已攻陷的环境中注册新域名。例如，在 AWS 环境中，攻击者可能利用 Route53 域名服务注册域名，并创建指向威胁行为者所选资源的托管区域。(Citation: Invictus IR DangerDev 2024)