T1583.005: 僵尸网络

摘要

攻击者可能购买、租赁或租用可在目标定位期间使用的受陷系统网络。僵尸网络是一个受陷系统网络，可被指示执行协调任务。(Citation: Norton Botnet) 攻击者可能从 booter/stresser 服务购买订阅以使用现有僵尸网络。 面向 Internet 的边缘设备和相关网络设备中已停产（EOL）且不受制造商支持的设备，常被获取用于僵尸网络活动。攻击者可能租用运营中继盒（ORB）网络——由虚拟专用服务器（VPS）、小型办公室/家庭办公室（SOHO）路由器或物联网（IoT）设备组成——用作僵尸网络。(Citation: ORB Mandiant) 拥有僵尸网络可供支配后，攻击者可能执行后续活动，例如大规模[钓鱼](https://attack.mitre.org/techniques/T1566)或分布式拒绝服务（DDoS）。(Citation: Imperva DDoS for Hire)(Citation: Krebs-Anna)(Citation: Krebs-Bazaar)(Citation: Krebs-Booter) 获取的僵尸网络也可能用于支持命令与控制活动，例如通过已建立的[代理](https://attack.mitre.org/techniques/T1090)网络[隐藏基础设施](https://attack.mitre.org/techniques/T1665)。