T1681: 搜索威胁供应商数据

摘要

威胁行为者可能从封闭或开放的威胁情报来源中寻找有关其自身活动以及由其他攻击者进行的、可能与其目标行业、能力/目标或其他运营关切相符的活动的信息/指标。这些报告可能包括行为描述、攻击的详细分解、原子指标（如恶意软件哈希或 IP 地址）、某组织活动的时间线等。攻击者在规划未来行动时可能改变其行为。 已观察到攻击者在不到一周的时间内替换博客文章中提到的原子指标。(Citation: Google Cloud Threat Intelligence VMWare ESXi Zero-Day 2023) 还观察到攻击者在威胁供应商数据中搜索自己的域名，然后将其下架，很可能是为了避免被查获或进一步调查。(Citation: Sentinel One Contagious Interview ClickFix September 2025) 此技术不同于[威胁情报供应商](https://attack.mitre.org/techniques/T1597/001)，因为它描述的是威胁行为者对其自身活动进行侦察，而不是寻找受害者信息。