T1027.013: 加密/编码文件

摘要

攻击者可能加密或编码文件，以混淆字符串、字节和其他特定模式来阻碍检测。加密和/或编码文件内容旨在隐藏在入侵中使用的文件内的恶意产物。许多其他技术（例如[软件加壳](https://attack.mitre.org/techniques/T1027/002)、[隐写术](https://attack.mitre.org/techniques/T1027/003)和[嵌入式载荷](https://attack.mitre.org/techniques/T1027/009)）具有相同的总体目标。加密和/或编码文件可能导致静态签名检测的失效，而这些恶意内容只有在执行/使用时才会显现（即[去混淆/解码文件或信息](https://attack.mitre.org/techniques/T1140)）。 此类文件混淆可应用于受害者主机上存在的许多文件产物，例如恶意软件的日志/配置和载荷文件。(Citation: File obfuscation) 文件可以使用硬编码或用户提供的密钥加密，也可以使用 Base64 等标准编码方案以其他方式混淆。 文件的全部内容可能被混淆，也可能仅混淆特定函数或值（例如 C2 地址）。加密和编码还可以应用在冗余层中，以提供额外保护。 例如，攻击者可能滥用受密码保护的 Word 文档或自解压（SFX）归档作为加密/编码文件（例如[钓鱼](https://attack.mitre.org/techniques/T1566)载荷）的方法。这些文件通常通过将预期的归档内容附加到解压缩存根（stub）上来运作，该存根在文件被调用时执行（例如[用户执行](https://attack.mitre.org/techniques/T1204)）。(Citation: SFX - Encrypted/Encoded File) 攻击者还可能滥用文件特定的以及自定义的编码方案。例如，文本文件中的字节顺序标记（BOM）头可能被滥用，以操纵和混淆文件内容，直到[命令与脚本解释器](https://attack.mitre.org/techniques/T1059)执行。