T1614: 系统位置发现

摘要

攻击者可能收集信息，试图计算受害者主机的地理位置。攻击者可能在自动化发现期间使用来自[系统位置发现](https://attack.mitre.org/techniques/T1614)的信息来塑造后续行为，包括攻击者是否完全感染目标以及/或尝试特定操作。 攻击者可能尝试使用各种系统检查来推断系统的位置，例如时区、键盘布局和/或语言设置。(Citation: FBI Ragnar Locker 2020)(Citation: Sophos Geolocation 2016)(Citation: Bleepingcomputer RAT malware 2020) 诸如 <code>GetLocaleInfoW</code> 之类的 Windows API 函数也可用于确定主机的区域设置。(Citation: FBI Ragnar Locker 2020) 在云环境中，还可以通过从实例访问实例元数据服务来发现实例的可用区。(Citation: AWS Instance Identity Documents)(Citation: Microsoft Azure Instance Metadata 2021) 攻击者还可能尝试使用 IP 寻址来推断受害者主机的位置，例如通过在线地理位置 IP 查询服务。(Citation: Securelist Trasparent Tribe 2020)(Citation: Sophos Geolocation 2016)