T1680: 本地存储发现

摘要

攻击者可能枚举本地驱动器、磁盘和/或卷及其属性，如总空间或可用空间以及卷序列号。这样做可能是为了准备勒索软件相关的加密、执行[横向移动](https://attack.mitre.org/tactics/TA0109)，或作为[直接卷访问](https://attack.mitre.org/techniques/T1006)的前兆。 在 ESXi 系统上，攻击者可能使用 `esxcli` 等[虚拟机监控程序 CLI](https://attack.mitre.org/techniques/T1059/012) 命令列出连接到主机的存储以及 `.vmdk` 文件。(Citation: TrendMicro)(Citation: TrendMicro ESXI Ransomware) 在 Windows 系统上，攻击者可以使用 `wmic logicaldisk get` 查找有关本地网络驱动器的信息。他们还可以在 PowerShell 中使用 `Get-PSDrive` 检索驱动器，并可能额外使用 `GetDriveType` 等 Windows API 函数。(Citation: Trend Micro MUSTANG PANDA PUBLOAD HIUPAN SEPTEMBER 2024)(Citation: Volexity) Linux 有 `parted`、`lsblk`、`fdisk`、`lshw` 和 `df` 等命令，可以列出有关磁盘分区的信息，如大小、类型、文件系统类型和可用空间。macOS 上的命令 `diskutil` 可用于列出磁盘，而 `system_profiler SPStorageDataType` 还可以额外显示诸如卷的挂载路径、文件系统以及系统中驱动器类型等信息。 基础设施即服务（IaaS）云提供商也有用于存储发现的命令，例如 AWS 中的 `describe volume`、GCP 中的 `gcloud compute disks list` 以及 Azure 中的 `az disk list`。(Citation: AWS docs describe volumes)(Citation: GCP gcloud compute disks list)(Citation: azure az disk)