T1564.006: 运行虚拟实例

摘要

攻击者可能使用虚拟实例执行恶意操作以逃避检测。存在各种各样的虚拟化技术，允许对计算机或计算环境进行仿真。通过在虚拟实例内运行恶意代码，攻击者可以向无法监控虚拟实例内部活动的安全工具隐藏与其行为相关的痕迹。(Citation: CyberCX Akira Ransomware) 此外，取决于虚拟网络实现方式（例如桥接适配器），虚拟实例生成的网络流量可能难以追溯到受感染主机，因为其 IP 地址和主机名可能与已知值不匹配。(Citation: SingHealth Breach Jan 2019) 攻击者可能利用原生虚拟化支持（例如 Hyper-V）、部署轻量级仿真器（例如 QEMU），或投放运行虚拟实例所需的文件（例如 VirtualBox 二进制文件）。(Citation: Securonix CronTrap 2024) 运行虚拟实例后，攻击者可能在客户机与主机之间创建共享文件夹，其权限使虚拟实例能够与主机文件系统交互。(Citation: Sophos Ragnar May 2020) 威胁行为者还可能利用临时虚拟化环境，例如 Windows Sandbox，它支持使用 `.wsb` 配置文件来定义执行参数。例如，`<MappedFolder>` 属性支持创建共享文件夹，而 `<LogonCommand>` 属性允许指定载荷。(Citation: ESET MirrorFace 2025)(Citation: ITOCHU Hack the Sandbox)(Citation: ITOCHU Sandbox PPT) 在 VMWare 环境中，攻击者可能利用 vCenter 控制台创建新的虚拟机。然而，他们也可能是通过运行有效的 `.vmx` 文件并使用 `/bin/vmx` 实用工具，直接在 ESXi 服务器上创建虚拟机。将此命令添加到 `/etc/rc.local.d/local.sh`（即[RC 脚本](https://attack.mitre.org/techniques/T1037/004)）将导致该虚拟机持续重启。(Citation: vNinja Rogue VMs 2024) 以这种方式创建虚拟机可使其不出现在 vCenter 控制台中，也不出现在 ESXi 服务器上 `vim-cmd vmsvc/getallvms` 命令的输出中，从而在典型管理活动中将其隐藏。(Citation: MITRE VMware Abuse 2024)