T1036.008: 伪装文件类型

摘要

攻击者可能通过更改载荷的格式（包括文件的签名、扩展名、图标和内容），将恶意载荷伪装成合法文件。各种文件类型都有典型的标准格式，包括其编码和组织方式。例如，文件签名（也称为头或魔数字节）是文件的开头字节，通常用于识别文件类型。例如，JPEG 文件的头是 <code> 0xFF 0xD8</code>，文件扩展名是 `.JPE`、`.JPEG` 或 `.JPG`。 攻击者可能编辑头部的十六进制代码和/或恶意载荷的文件扩展名，以绕过文件验证检查和/或输入净化。此行为常用于载荷文件被传输（例如[入口工具传输](https://attack.mitre.org/techniques/T1105)）和存储（例如[上传恶意软件](https://attack.mitre.org/techniques/T1608/001)）时，以便攻击者在不触发检测的情况下移动其恶意软件。 常见的非可执行文件类型和扩展名（例如文本文件（`.txt`）和图像文件（`.jpg`、`.gif` 等））通常被视为无害。基于此，攻击者可能使用文件扩展名来伪装恶意软件，例如将 PHP 后门代码命名为 <code>test.gif</code>。由于外观和文件扩展名无害，用户可能不知道该文件是恶意的。 多语（Polyglot）文件是指具有多种不同文件类型、并根据执行它们的应用程序而以不同方式运行的文件，也可用于伪装恶意软件和能力。(Citation: polygot_icedID)