T1027: 混淆的文件或信息

摘要

攻击者可能尝试通过在系统上或传输途中加密、编码或以其他方式混淆可执行文件或文件的内容，使其难以被发现或分析。这是一种常见行为，可跨不同平台和网络用于规避防御。 载荷可能被压缩、归档或加密以避免检测。这些载荷可能在初始访问期间使用，或在之后使用以减轻检测。有时可能需要用户操作来打开并针对[用户执行](https://attack.mitre.org/techniques/T1204)进行[去混淆/解码文件或信息](https://attack.mitre.org/techniques/T1140)。用户还可能被要求输入密码，以打开攻击者提供的受密码保护的压缩/加密文件。(Citation: Volexity PowerDuke November 2016) 攻击者还可能使用压缩或归档的脚本，例如 JavaScript。 文件的部分内容也可以被编码，以隐藏原本会帮助防御者进行发现的纯文本字符串。(Citation: Linux/Cdorked.A We Live Security Analysis) 载荷还可能被拆分为独立的、看似无害的文件，只有在重新组合时才会显现恶意功能。(Citation: Carbon Black Obfuscation Sept 2016) 攻击者还可能滥用[命令混淆](https://attack.mitre.org/techniques/T1027/010)来掩盖从载荷中执行的命令，或直接通过[命令与脚本解释器](https://attack.mitre.org/techniques/T1059)执行的命令。环境变量、别名、字符以及其他平台/语言特定的语义可用于规避基于签名的检测和应用程序控制机制。(Citation: FireEye Obfuscation June 2017)(Citation: FireEye Revoke-Obfuscation July 2017)(Citation: PaloAlto EncodedCommand March 2017)