T1204.003: 恶意镜像

摘要

攻击者可能依赖用户运行恶意镜像来促成执行。Amazon Web Services (AWS) Amazon Machine Images (AMIs)、Google Cloud Platform (GCP) 镜像和 Azure 镜像，以及诸如 Docker 等流行容器运行时，都可能被植入后门。植入后门的镜像可能通过[上传恶意软件](https://attack.mitre.org/techniques/T1608/001)上传到公共仓库，然后用户可能从该镜像下载并部署实例或容器，而未意识到镜像具有恶意性，从而绕过专门实现初始访问的技术。这可能导致在实例或容器中执行恶意代码，例如执行加密货币挖矿的代码。(Citation: Summit Route Malicious AMIs) 攻击者还可能以某种方式命名镜像，以增加用户从该镜像错误部署实例或容器的机会（例如：[匹配合法资源名称或位置](https://attack.mitre.org/techniques/T1036/005)）。(Citation: Aqua Security Cloud Native Threat Report June 2021)