T1480: 执行护栏

摘要

攻击者可能使用执行护栏，根据攻击者提供且预期存在于目标上的环境特定条件来约束执行或操作。护栏确保载荷只针对预期目标执行，并减少攻击者活动的附带损害。(Citation: FireEye Kevin Mandia Guardrails) 攻击者可以提供关于目标系统或环境、用作护栏的值，可能包括特定的网络共享名称、连接的物理设备、文件、加入的 Active Directory (AD) 域，以及本地/外部 IP 地址。(Citation: FireEye Outlook Dec 2019) 护栏可用于防止能力在不打算入侵或运行的环境中暴露。护栏的这种用法与典型的[虚拟化/沙箱规避](https://attack.mitre.org/techniques/T1497)不同。虽然使用[虚拟化/沙箱规避](https://attack.mitre.org/techniques/T1497)可能涉及检查已知沙箱值并仅在不匹配时继续执行，但使用护栏将涉及检查预期的目标特定值，并仅在存在此类匹配时才继续执行。 攻击者可能识别并阻止某些用户代理，以逃避防御并将其攻击范围缩小到将最有效的受害者和平台。用户代理自我标识诸如用户软件应用程序、操作系统、供应商和版本等数据。攻击者可能检查用户代理以进行操作系统识别，然后仅针对可利用软件投递恶意软件，而忽略所有其他操作系统。(Citation: Trellix-Qakbot)