T1056.002: GUI 输入捕获

摘要

攻击者可能模仿常见的操作系统 GUI 组件，以看似合法的提示框向用户索取凭证。当执行的程序需要比当前用户上下文更多的权限时，操作系统通常会提示用户提供适当的凭证，以授权该任务所需的提升权限（例如 [Bypass User Account Control](https://attack.mitre.org/techniques/T1548/002)）。 攻击者可能模仿此功能，出于多种模仿正常使用的理由，以看似合法的提示框向用户索取凭证，例如需要额外访问权限的假安装程序或假的恶意软件清除套件。(Citation: OSX Malware Exploits MacKeeper) 此类提示可用于通过多种语言收集凭证，如 [AppleScript](https://attack.mitre.org/techniques/T1059/002)(Citation: LogRhythm Do You Trust Oct 2014)(Citation: OSX Keydnap malware)(Citation: Spoofing credential dialogs) 和 [PowerShell](https://attack.mitre.org/techniques/T1059/001)。(Citation: LogRhythm Do You Trust Oct 2014)(Citation: Enigma Phishing for Credentials Jan 2015)(Citation: Spoofing credential dialogs) 在 Linux 系统上，攻击者可能从恶意 shell 脚本或命令行（即 [Unix Shell](https://attack.mitre.org/techniques/T1059/004)）启动对话框，向用户索取凭证。(Citation: Spoofing credential dialogs) 攻击者还可能模仿常见软件的身份验证请求，例如浏览器或电子邮件客户端的请求。这还可能结合用户活动监控（即 [Browser Information Discovery](https://attack.mitre.org/techniques/T1217) 和/或 [Application Window Discovery](https://attack.mitre.org/techniques/T1010)），在用户自然地访问敏感站点/数据时伪造提示框。