T1485: 数据破坏

摘要

攻击者可能破坏特定系统上的数据文件，或破坏网络上的大量数据文件，以中断对系统、服务和网络资源的可用性。数据破坏很可能通过覆盖本地和远程驱动器上的文件或数据，使存储的数据无法通过取证技术恢复。(Citation: Symantec Shamoon 2012)(Citation: FireEye Shamoon Nov 2016)(Citation: Palo Alto Shamoon Nov 2016)(Citation: Kaspersky StoneDrill 2017)(Citation: Unit 42 Shamoon3 2018)(Citation: Talos Olympic Destroyer 2018) 常见操作系统文件删除命令（如 <code>del</code> 和 <code>rm</code>）通常只移除指向文件的指针，而不擦除文件本身的内容，使文件可通过适当的取证方法恢复。此行为与[磁盘内容擦除](https://attack.mitre.org/techniques/T1561/001)和[磁盘结构擦除](https://attack.mitre.org/techniques/T1561/002)不同，因为破坏的是单个文件，而不是存储磁盘的区段或磁盘的逻辑结构。 攻击者可能尝试用随机生成的数据覆盖文件和目录，使其无法恢复。(Citation: Kaspersky StoneDrill 2017)(Citation: Unit 42 Shamoon3 2018) 在某些情况下，已使用带有政治色彩的图像文件来覆盖数据。(Citation: FireEye Shamoon Nov 2016)(Citation: Palo Alto Shamoon Nov 2016)(Citation: Kaspersky StoneDrill 2017) 在以中断全网络可用性为目标的行动中，为最大化对目标组织的影响，专为破坏数据而设计的恶意软件可能具有类似蠕虫的功能，通过利用[有效账户](https://attack.mitre.org/techniques/T1078)、[操作系统凭据转储](https://attack.mitre.org/techniques/T1003)和 [SMB/Windows 管理共享](https://attack.mitre.org/techniques/T1021/002)等额外技术在网络中传播。(Citation: Symantec Shamoon 2012)(Citation: FireEye Shamoon Nov 2016)(Citation: Palo Alto Shamoon Nov 2016)(Citation: Kaspersky StoneDrill 2017)(Citation: Talos Olympic Destroyer 2018). 在云环境中，攻击者可能利用访问权限删除对运营至关重要的云存储对象、机器镜像、数据库实例和其他基础设施，以损害组织或其客户。(Citation: Data Destruction - Threat Post)(Citation: DOJ - Cisco Insider) 同样，他们可能从本地虚拟化环境中删除虚拟机。