T1668: 独占控制

摘要

成功攻陷系统的攻击者可能试图通过在其身后“关门”来维持持久化——换句话说，通过阻止其他威胁行为者初始访问或在同一系统上维持立足点。 例如，攻击者可能修补一个存在漏洞的、已被攻陷的系统 (Citation: Mandiant-iab-control)(Citation: CERT AT Fortinent Ransomware 2025)，以防止其他威胁行为者将来利用该漏洞。他们可能以其他方式“关门”，例如禁用存在漏洞的服务 (Citation: sophos-multiple-attackers)、剥夺账户的权限 (Citation: aquasec-postgres-processes)，或移除被攻陷设备上已有的其他恶意软件。(Citation: fsecure-netsky) 阻碍其他威胁行为者可能使攻击者能够保持对已被攻陷系统或网络的唯一访问权。这避免了威胁行为者需要与其他威胁行为者竞争，甚至被其他威胁行为者移除。它还减少了环境中的“噪音”，降低了被防御者发现和清除的可能性。最后，在[资源劫持](https://attack.mitre.org/techniques/T1496)的情况下，利用被攻陷设备的全部能力使威胁行为者能够最大化利润。(Citation: sophos-multiple-attackers)