T1080: 污染共享内容

摘要

攻击者可能通过向共享存储位置(如网络驱动器或内部代码存储库)添加内容，向远程系统投递载荷。存储在网络驱动器或其他共享位置上的内容可能被污染，方法是在原本有效的文件中添加恶意程序、脚本或漏洞利用代码。一旦用户打开被污染的共享内容，恶意部分就可以被执行，从而在远程系统上运行攻击者的代码。攻击者可能利用被污染的共享内容进行横向移动。 目录共享枢轴(directory share pivot)是此技术的一种变体，它使用若干其他技术在用户访问共享网络目录时传播恶意软件。它使用目录 .LNK 文件的 [Shortcut Modification](https://attack.mitre.org/techniques/T1547/009)，这些文件使用 [Masquerading](https://attack.mitre.org/techniques/T1036) 看起来像真实目录，真实目录则通过 [Hidden Files and Directories](https://attack.mitre.org/techniques/T1564/001) 隐藏。基于 .LNK 的恶意目录内嵌一个命令，该命令执行目录中隐藏的恶意软件文件，然后打开真正的预期目录，以便用户预期的操作仍然发生。当与频繁使用的网络目录一起使用时，此技术可能导致频繁的再感染以及对系统的广泛访问，并可能获得新的更高权限账户。(Citation: Retwin Directory Share Pivot) 攻击者还可能通过二进制感染来攻陷共享网络目录，方法是将代码追加或前置到共享网络目录上健康的二进制文件中。恶意软件可能修改健康二进制文件的原始入口点(OEP)，以确保它在合法代码之前执行。当新感染的文件被远程系统执行时，感染可能继续传播。这些感染可能针对以 .EXE、.DLL、.SCR、.BAT 和/或 .VBS 等扩展名结尾的二进制和非二进制格式。