T1587.001: 恶意软件

摘要

攻击者可能开发可在目标定位期间使用的恶意软件和恶意软件组件。构建恶意软件可以包括开发载荷、投放器、入侵后工具、后门（包括带后门的镜像）、打包器、C2 协议，以及创建受感染的移动介质。攻击者可能开发恶意软件以支持其操作，创建维持对远程机器控制、逃避防御和执行入侵后行为的手段。(Citation: Mandiant APT1)(Citation: Kaspersky Sofacy)(Citation: ActiveMalwareEnergy)(Citation: FBI Flash FIN7 USB) 在恶意软件开发过程中，攻击者可能故意包含与其他已知行为者一致的特征，以误导防御者的归因。(Citation: Olympic Destroyer)(Citation: Risky Bulletin Threat actor impersonates FSB APT)(Citation: GamaCopy organization) 与合法的开发工作一样，开发恶意软件可能需要不同的技能组合。所需技能可能存在于内部，也可能需要外包。使用承包商可被视为该攻击者恶意软件开发能力的延伸，前提是攻击者在塑造需求方面发挥作用，并对该恶意软件保持一定程度的专有性。 恶意软件开发的某些方面（例如 C2 协议开发）可能要求攻击者获取额外的基础设施。例如，开发用于与 Twitter 进行 C2 通信的恶意软件可能需要使用[Web 服务](https://attack.mitre.org/techniques/T1583/006)。(Citation: FireEye APT29)