T1678: 延迟执行

摘要

攻击者可能采用各种基于时间的方法来规避检测和分析。这些技术通常利用系统时钟、延迟或计时机制来掩盖恶意活动、与良性活动融为一体并避免审查。攻击者可以在虚拟化/沙箱环境中或本机系统上执行此行为。 攻击者可能利用编程式 `sleep` 命令或本机系统调度功能，例如[计划任务/作业](https://attack.mitre.org/techniques/T1053)。良性命令或其他操作也可能被用来延迟恶意软件的执行，或确保先前的命令有足够的时间正确执行。循环或其他不必要的命令重复（如 `ping`）可能被用来延迟恶意软件执行，并可能超过自动化分析环境的时间阈值。(Citation: Revil Independence Day)(Citation: Netskope Nitol) 另一种变体通常被称为 API hammering（API 捶打），涉及对原生 API 函数进行各种调用来延迟执行（同时也可能用垃圾数据使分析环境过载）。(Citation: Joe Sec Nymaim)(Citation: Joe Sec Trickbot)