T1036.007: 双文件扩展名

摘要

攻击者可能滥用文件名中的双扩展名作为伪装真实文件类型的手段。文件名可能包含一个次要文件类型扩展名，导致仅显示第一个扩展名（例如 <code>File.txt.exe</code> 在某些视图中可能仅呈现为 <code>File.txt</code>）。然而，第二个扩展名才是决定文件如何打开和执行的真正文件类型。真实的文件扩展名可能被操作系统在文件浏览器（例如 explorer.exe）中隐藏，也可能在使用系统策略或类似策略配置的任何软件中被隐藏。(Citation: PCMag DoubleExtension)(Citation: SOCPrime DoubleExtension) 攻击者可能滥用双扩展名来试图隐藏载荷的危险文件类型。一种非常常见的用法是诱骗用户打开其认为是无害文件类型、但实际上是可执行代码的文件。此类文件通常伪装成电子邮件附件，使攻击者能够通过[鱼叉式钓鱼附件](https://attack.mitre.org/techniques/T1566/001)然后[用户执行](https://attack.mitre.org/techniques/T1204)获得对用户系统的[初始访问](https://attack.mitre.org/tactics/TA0001)。例如，一个名为 <code>Evil.txt.exe</code> 的可执行文件附件可能对用户显示为 <code>Evil.txt</code>。用户可能将其视为无害的文本文件并打开，从而无意中执行了隐藏的恶意软件。(Citation: SOCPrime DoubleExtension) 常见文件类型（例如文本文件（.txt、.doc 等）和图像文件（.jpg、.gif 等））通常用作第一个扩展名以显得无害。通常被视为危险的扩展名（例如 .exe、.lnk、.hta 和 .scr）往往作为第二个扩展名和真实文件类型出现。