T1014: Rootkit

摘要

攻击者可能使用 rootkit 隐藏程序、文件、网络连接、服务、驱动程序和其他系统组件的存在。Rootkit 是通过拦截/挂钩并修改提供系统信息的操作系统 API 调用来隐藏恶意软件存在的程序。 (Citation: Symantec Windows Rootkits) Rootkit 或用于启用 rootkit 的功能可能驻留在操作系统的用户级或内核级，或更低层级，包括虚拟机监控程序或[系统固件](https://attack.mitre.org/techniques/T1542/001)。 (Citation: Wikipedia Rootkit) 已在 Windows、Linux 和 Mac OS X 系统上发现过 rootkit。 (Citation: CrowdStrike Linux Rootkit) (Citation: BlackHat Mac OSX Rootkit) 驻留于或修改引导扇区的 rootkit 被称为[引导工具包](https://attack.mitre.org/techniques/T1542/003)，它们专门针对操作系统的引导过程。