T1614.001: 系统语言发现

摘要

攻击者可能尝试收集有关受害者系统语言的信息，以推断该主机的地理位置。这些信息可用于塑造后续行为，包括攻击者是否感染目标以及/或尝试特定操作。恶意软件开发者与运营者可能采用这一决策来降低引起特定执法机构注意或招致其他实体起诉/审查的风险。(Citation: Malware System Language Check) 攻击者可以使用多种数据来源来推断系统语言，例如系统默认值和键盘布局。具体检查因目标和/或攻击者而异，但可能涉及诸如[查询注册表](https://attack.mitre.org/techniques/T1012)和调用[原生 API](https://attack.mitre.org/techniques/T1106) 函数等行为。(Citation: CrowdStrike Ryuk January 2019) 例如，在 Windows 系统上，攻击者可能尝试通过查询注册表键 <code>HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Nls\Language</code> 或解析 Windows API 函数 <code>GetUserDefaultUILanguage</code>、<code>GetSystemDefaultUILanguage</code>、<code>GetKeyboardLayoutList</code> 和 <code>GetUserDefaultLangID</code> 的输出来推断系统的语言。(Citation: Darkside Ransomware Cybereason)(Citation: Securelist JSWorm)(Citation: SecureList SynAck Doppelgänging May 2018) 在 macOS 或 Linux 系统上，攻击者可能查询 <code>locale</code> 以检索 <code>$LANG</code> 环境变量的值。