T1016.002: Wi-Fi 发现

摘要

攻击者可能在被入侵系统上搜索有关 Wi-Fi 网络的信息，例如网络名称和密码。攻击者可能将 Wi-Fi 信息作为[账户发现](https://attack.mitre.org/techniques/T1087)、[远程系统发现](https://attack.mitre.org/techniques/T1018)以及其他发现或[凭据访问](https://attack.mitre.org/tactics/TA0006)活动的一部分，以支持正在进行和未来的行动。 攻击者可能从主机上收集各类有关 Wi-Fi 网络的信息。例如，在 Windows 上，设备先前连接过的所有 Wi-Fi 网络的名称和密码可通过 `netsh wlan show profiles` 枚举 Wi-Fi 名称，然后使用 `netsh wlan show profile “Wi-Fi name” key=clear` 显示某个 Wi-Fi 网络对应的密码。(Citation: BleepingComputer Agent Tesla steal wifi passwords)(Citation: Malware Bytes New AgentTesla variant steals WiFi credentials)(Citation: Check Point APT35 CharmPower January 2022) 此外，可通过调用 `wlanAPI.dll` [原生 API](https://attack.mitre.org/techniques/T1106) 函数发现本地可访问的 Wi-Fi 网络的名称和其他详细信息。(Citation: Binary Defense Emotes Wi-Fi Spreader) 在 Linux 上，设备先前连接过的所有 Wi-Fi 网络的名称和密码可能位于 ` /etc/NetworkManager/system-connections/` 下的文件中。(Citation: Wi-Fi Password of All Connected Networks in Windows/Linux) 在 macOS 上，可使用 ` security find-generic-password -wa wifiname` 识别已知 Wi-Fi 的密码（需要管理员用户名/密码）。(Citation: Find Wi-Fi Password on Mac)