T1553.005: Mark-of-the-Web 绕过

摘要

攻击者可能滥用特定文件格式来颠覆 Mark-of-the-Web（MOTW）控制。在 Windows 中，当文件从 Internet 下载时，它们会被标记一个隐藏的 NTFS 备用数据流（ADS），名为 <code>Zone.Identifier</code>，其中包含一个称为 MOTW 的特定值。(Citation: Microsoft Zone.Identifier 2020) 被标记了 MOTW 的文件受保护，无法执行某些操作。例如，从 MS Office 10 开始，如果 MS Office 文件具有 MOTW，它将在受保护的视图中打开。被标记了 MOTW 的可执行文件将由 Windows Defender SmartScreen 处理，它会将文件与已知可执行文件的允许列表进行比较。如果文件未知/不受信任，SmartScreen 将阻止执行并警告用户不要运行它。(Citation: Beek Use of VHD Dec 2020)(Citation: Outflank MotW 2020)(Citation: Intezer Russian APT Dec 2020) 攻击者可能滥用容器文件，如压缩/存档（.arj、.gzip）和/或磁盘映像（.iso、.vhd）文件格式，以传递可能未被标记 MOTW 的恶意载荷。从 Internet 下载的容器文件将被标记 MOTW，但其中的文件在容器文件被解压缩和/或挂载后可能不会继承 MOTW。MOTW 是一种 NTFS 功能，许多容器文件不支持 NTFS 备用数据流。在容器文件被解压缩和/或挂载后，其中包含的文件可能被视为磁盘上的本地文件并在无保护的情况下运行。(Citation: Beek Use of VHD Dec 2020)(Citation: Outflank MotW 2020)