T1027.001: 二进制填充

摘要

攻击者可能使用二进制填充来添加垃圾数据并更改恶意软件在磁盘上的表示形式。这可以在不影响二进制文件功能或行为的情况下完成，但可能使二进制文件的大小超出某些安全工具因文件大小限制而能够处理的范围。 二进制填充有效地改变了文件的校验和，还可用于避开基于哈希的黑名单和静态防病毒签名。(Citation: ESET OceanLotus) 所使用的填充通常由函数生成垃圾数据，然后附加到恶意软件末尾或应用于其各个节区。(Citation: Securelist Malware Tricks April 2017) 增大文件大小可能降低某些并非为扫描大文件而设计或配置的工具和检测能力的有效性。这也可能降低被收集以供分析的可能性。公共文件扫描服务（例如 VirusTotal）会限制上传文件的最大分析尺寸。(Citation: VirusTotal FAQ)