T1048: 通过替代协议进行数据外泄

摘要

攻击者可能通过与现有命令与控制信道不同的协议外泄数据来窃取数据。数据还可能被发送到不同于主命令与控制服务器的备用网络位置。 替代协议包括 FTP、SMTP、HTTP/S、DNS、SMB 或任何未用作主命令与控制信道的其他网络协议。攻击者还可能选择加密和/或混淆这些替代信道。 [通过替代协议进行数据外泄](https://attack.mitre.org/techniques/T1048)可以使用各种常见的操作系统实用程序来完成，例如 [Net](https://attack.mitre.org/software/S0039)/SMB 或 FTP。(Citation: Palo Alto OilRig Oct 2016) 在 macOS 和 Linux 上，可以使用 <code>curl</code> 调用 HTTP/S 或 FTP/S 等协议从系统外泄数据。(Citation: 20 macOS Common Tools and Techniques) 许多 IaaS 和 SaaS 平台（例如 Microsoft Exchange、Microsoft SharePoint、GitHub 和 AWS S3）支持通过 Web 控制台或[云 API](https://attack.mitre.org/techniques/T1059/009) 直接下载文件、电子邮件、源代码和其他敏感信息。