T1542.004: ROMMONkit

摘要

攻击者可能通过加载带有攻击者代码的未授权固件来滥用 ROM Monitor（ROMMON），以提供持久性访问并操纵难以检测的设备行为。(Citation: Cisco Synful Knock Evolution)(Citation: Cisco Blog Legacy Device Attacks) ROMMON 是一种 Cisco 网络设备固件，作为引导加载程序、引导映像或引导助手，在平台开机或复位时初始化硬件和软件。与[TFTP 引导](https://attack.mitre.org/techniques/T1542/005)类似，攻击者可能在本地或远程（例如通过 TFTP）使用攻击者代码升级 ROMMON 映像，并重启设备以覆盖现有 ROMMON 映像。这为攻击者提供了更新 ROMMON 以在系统上持久化存在的手段，且可能难以检测。