T1608.005: 链接目标

摘要

攻击者可能设置被链接引用的资源，以用于定位阶段。攻击者可能依赖用户点击恶意链接来泄露信息（包括凭据）或获得执行，如[恶意链接](https://attack.mitre.org/techniques/T1204/001)中所述。链接可用于鱼叉式网络钓鱼，例如发送一封附有社会工程文本的电子邮件，以诱使收件人主动点击或将 URL 复制粘贴到浏览器中。在信息钓鱼（如[鱼叉式网络钓鱼链接](https://attack.mitre.org/techniques/T1598/003)）或为获得系统初始访问的钓鱼（如[鱼叉式网络钓鱼链接](https://attack.mitre.org/techniques/T1566/002)）之前，攻击者必须为鱼叉式网络钓鱼链接设置链接目标的资源。 通常，链接目标的资源将是一个 HTML 页面，其中可能包含一些客户端脚本（如 [JavaScript](https://attack.mitre.org/techniques/T1059/007)）来决定向用户提供什么内容。攻击者可能克隆合法站点作为链接目标，这可能包括克隆合法 Web 服务的登录页面或组织登录页面，以便在[鱼叉式网络钓鱼链接](https://attack.mitre.org/techniques/T1598/003)期间收集凭据。(Citation: Malwarebytes Silent Librarian October 2020)(Citation: Proofpoint TA407 September 2019) 攻击者还可能[上传恶意软件](https://attack.mitre.org/techniques/T1608/001)，使链接目标指向供用户下载/执行的恶意软件。 攻击者可能在获取基础设施期间（[域名](https://attack.mitre.org/techniques/T1583/001)）购买与合法域名相似的域名（例如：同形异义字、域名抢注、不同的顶级域等），以帮助促成[恶意链接](https://attack.mitre.org/techniques/T1204/001)。 攻击者可以编写链接以掩藏真实目的地，通过滥用 URL 架构来欺骗受害者并提高网络钓鱼的有效性。(Citation: Kaspersky-masking)(Citation: mandiant-masking) 攻击者还可能使用链接缩短服务和平台即服务提供商上的免费或付费账户来托管链接目标，同时利用这些提供商广受信任的域名，以避免在将受害者重定向到恶意页面时被阻止。(Citation: Netskope GCP Redirection)(Citation: Netskope Cloud Phishing)(Citation: Intezer App Service Phishing)(Citation: Cofense-redirect) 此外，攻击者可能通过唯一生成的 URI/URL（包括一次性、单次使用的链接）提供各种恶意链接。(Citation: iOS URL Scheme)(Citation: URI)(Citation: URI Use)(Citation: URI Unique) 最后，攻击者可能利用星际文件系统（IPFS）的去中心化特性来托管难以移除的链接目标。(Citation: Talos IPFS 2022)