T1074: 数据暂存

摘要

攻击者可能在泄露数据之前将收集的数据暂存在中央位置或目录中。数据可以保存在单独的文件中，或通过 [Archive Collected Data](https://attack.mitre.org/techniques/T1560) 之类的技术合并为一个文件。可以使用交互式命令 shell，以及 [cmd](https://attack.mitre.org/software/S0106) 和 bash 中的常见功能，将数据复制到暂存位置。(Citation: PWC Cloud Hopper April 2017) 在云环境中，攻击者可能在泄露之前在特定实例或虚拟机内暂存数据。攻击者可能[Create Cloud Instance](https://attack.mitre.org/techniques/T1578/002) 并在该实例中暂存数据。(Citation: Mandiant M-Trends 2020) 攻击者可能选择在泄露之前将来自受害者网络的数据暂存到集中位置，以尽量减少与其 C2 服务器建立的连接数量，并更好地规避检测。