T1608.001: 上传恶意软件

摘要

攻击者可能将恶意软件上传到第三方或攻击者控制的基础设施，使其在定位阶段可被访问。恶意软件可以包括有效载荷、投放器、攻陷后工具、后门以及各种其他恶意内容。攻击者可能上传恶意软件以支持其行动，例如将有效载荷放置在互联网可访问的 Web 服务器上，使其可供受害者网络使用，从而实现[入口工具转移](https://attack.mitre.org/techniques/T1105)。 恶意软件可能被放置在攻击者先前购买/租用的基础设施（[获取基础设施](https://attack.mitre.org/techniques/T1583)）或由他们以其他方式攻陷的基础设施（[攻陷基础设施](https://attack.mitre.org/techniques/T1584)）上。恶意软件还可以投放在 Web 服务（如 GitHub 或 Pastebin）上；托管在星际文件系统（IPFS）上，其去中心化的内容存储使恶意文件难以被移除；或作为智能合约保存在区块链上，从而能够抵御会影响传统基础设施的下架操作。(Citation: Volexity Ocean Lotus November 2020)(Citation: Talos IPFS 2022)(Citation: Guardio Etherhiding 2023)(Citation: Bleeping Computer Binance Smart Chain 2023) 攻击者可能将植入后门的文件（如软件包、应用程序二进制文件、虚拟机镜像或容器镜像）上传到第三方软件商店、包库、扩展市场或仓库（例如：GitHub、CNET、AWS Community AMIs、Docker Hub、PyPi、NPM）。(Citation: Datadog Security Labs Malicious PyPi Packages 2024) 受害者可能在偶然遇到时直接通过[用户执行](https://attack.mitre.org/techniques/T1204)下载/安装这些植入后门的文件。伪装（包括对合法软件进行域名抢注）可能增加用户误执行这些文件的机会。