T1098.007: 额外的本地或域组

摘要

攻击者可能向由攻击者控制的账户添加额外的本地或域组，以维持对系统或域的持久访问。 在 Windows 上，账户可能使用 `net localgroup` 和 `net group` 命令将现有用户添加到本地组和域组。(Citation: Microsoft Net Localgroup)(Citation: Microsoft Net Group)在 Linux 上，攻击者可能使用 `usermod` 命令达到相同目的。(Citation: Linux Usermod) 例如，账户可能被添加到 Windows 设备上的本地管理员组，以维持提升的权限。它们也可能被添加到 Remote Desktop Users 组，从而允许它们在未来利用 [Remote Desktop Protocol](https://attack.mitre.org/techniques/T1021/001) 登录到端点。(Citation: Microsoft RDP Logons)攻击者还可能将账户添加到 VPN 用户组，以获得未来在网络上的持久化。(Citation: Cyber Security News)在 Linux 上，账户可能被添加到 sudoers 组，允许它们持久地利用 [Sudo and Sudo Caching](https://attack.mitre.org/techniques/T1548/003) 获得提升的权限。 在 Windows 环境中，机器账户也可以被添加到域组。这允许本地 SYSTEM 账户获得域上的权限。(Citation: RootDSE AD Detection 2022)