T1685.003: 修改或欺骗工具 UI

摘要

攻击者可能欺骗或操纵安全工具的用户界面（UI），以虚假地表明工具运行正常并延迟检测和响应。 攻击者可能呈现具有误导性或伪造的安全工具界面（UI），显示正常或健康的状态指示，即使底层安全工具已被禁用、降级或以其他方式篡改。安全工具通常提供对系统健康状况、警报和运行状态的可见性；通过歪曲这些信息，攻击者可以削弱防御者对这些信号的信任，并掩盖系统的真实安全态势。 此行为通常与禁用或修改工具的努力结合使用，即攻击者首先损害防御（例如 EDR、日志代理）的功能，然后替换或模仿其界面以掩盖可见性的丧失。通过维持正常运行的外观（如显示主动保护、成功更新或无威胁），攻击者可以延迟调查和响应，使恶意活动得以持续。 例如，攻击者可能在禁用 Windows Defender 或相关服务后，显示虚假的 Windows 安全界面或系统托盘图标，指示“已保护”或“健康”状态。(Citation: BlackBasta)