T1485.001: 生命周期触发的删除

摘要

攻击者可能修改云存储桶的生命周期策略，以破坏其中存储的所有对象。 云存储桶通常允许用户设置生命周期策略，以在设定的时间段后自动迁移、归档或删除对象。(Citation: AWS Storage Lifecycles)(Citation: GCP Storage Lifecycles)(Citation: Azure Storage Lifecycles) 如果威胁行为者具有足够的权限修改这些策略，他们可能能够一次性删除所有对象。 例如，在 AWS 环境中，具有 `PutLifecycleConfiguration` 权限的攻击者可以使用 `PutBucketLifecycle` API 调用，对 S3 存储桶应用生命周期策略，在一天后删除存储桶中的所有对象。(Citation: Palo Alto Cloud Ransomware)(Citation: Halcyon AWS Ransomware 2025) 除了为勒索和[财务盗窃](https://attack.mitre.org/techniques/T1657)目的破坏数据外，攻击者还可能对存储云日志的存储桶执行此操作，以进行[痕迹清除](https://attack.mitre.org/techniques/T1070)。(Citation: Datadog S3 Lifecycle CloudTrail Logs)