T1027.004: 投递后编译

摘要

攻击者可能尝试通过将文件作为未编译代码投递给受害者，使载荷难以被发现和分析。基于文本的源代码文件可能规避针对可执行文件/二进制文件的保护措施的分析和审查。这些载荷在执行前需要编译；通常通过 ilasm.exe(Citation: ATTACK IQ)、csc.exe 或 GCC/MinGW 等原生实用程序进行。(Citation: ClearSky MuddyWater Nov 2018) 源代码载荷还可能被加密、编码和/或嵌入到其他文件中，例如作为[钓鱼](https://attack.mitre.org/techniques/T1566)投递的文件。载荷还可能以原生操作系统无法识别且本身无害的格式投递（例如 macOS/Linux 上的 EXE 文件），随后再使用捆绑的编译器和执行框架（重新）编译为合适的可执行二进制文件。(Citation: TrendMicro WindowsAppMac)