T1480.002: 互斥
摘要
攻击者可能根据与恶意软件关联的互斥体 (mutex) 的存在来约束执行或操作。互斥体是一种用于同步对资源访问的锁定机制。在给定时间只有一个线程或进程可以获取互斥体。(Citation: Microsoft Mutexes) 本地互斥体仅存在于给定进程内，允许多个线程同步对资源的访问，而系统互斥体可用于同步多个进程的活动。(Citation: Microsoft Mutexes) 通过创建与特定恶意软件关联的唯一系统互斥体，攻击者可以验证系统是否已被入侵。(Citation: Sans Mutexes 2012) 在 Linux 环境中，恶意软件可能改为尝试获取互斥体文件的锁。如果恶意软件能够获取该锁，它将继续执行；如果失败，它将退出以避免创建自身的第二个实例。(Citation: Intezer RedXOR 2021)(Citation: Deep Instinct BPFDoor 2023) 互斥体名称可能硬编码，或使用可预测的算法动态生成。(Citation: ICS Mutexes 2015)
来源归属
来源：MITRE ATT&CK · 置信度：high
平台
- Linux
- macOS
- Windows
战术
Stealth
参考来源
- https://attack.mitre.org/techniques/T1480/002
- https://intezer.com/blog/malware-analysis/new-linux-backdoor-redxor-likely-operated-by-chinese-nation-state-actor/
- https://www.sans.org/blog/looking-at-mutex-objects-for-malware-discovery-indicators-of-compromise/
- https://isc.sans.edu/diary/How+Malware+Generates+Mutex+Names+to+Evade+Detection/19429/
- https://learn.microsoft.com/en-us/dotnet/standard/threading/mutexes
- https://www.deepinstinct.com/blog/bpfdoor-malware-evolves-stealthy-sniffing-backdoor-ups-its-game