T1036.010: 伪装账户名称

摘要

攻击者可能匹配或近似合法账户的名称，使新创建的账户看起来无害。这通常发生在[创建账户](https://attack.mitre.org/techniques/T1136)期间，不过账户也可能在之后被重命名。如果行为者先删除一个账户，然后重新创建一个同名账户，这也可能与[账户访问移除](https://attack.mitre.org/techniques/T1531)同时发生。(Citation: Huntress MOVEit 2023) 攻击者通常试图伪装成服务账户，例如与合法软件、数据备份或容器集群管理相关联的账户。(Citation: Elastic CUBA Ransomware 2022)(Citation: Aquasec Kubernetes Attack 2023) 他们也可能给账户取通用的、可信的名称，例如 “admin”、“help” 或 “root”。(Citation: Invictus IR Cloud Ransomware 2024) 有时攻击者可能以系统中已存在的账户名为模型来命名账户，作为[账户发现](https://attack.mitre.org/techniques/T1087)的后续行为。 请注意，这与[冒充](https://attack.mitre.org/techniques/T1684/001)不同，后者描述的是冒充特定受信任的个人或组织，而非用户或服务账户名称。