T1027.008: 剥离符号的载荷

摘要

攻击者可能尝试通过移除符号、字符串和其他人类可读信息，使载荷难以分析。脚本和可执行文件可能包含帮助开发者记录代码功能的变量名和其他字符串。在编译可执行载荷时，符号通常由操作系统 `linker` 创建。逆向工程师使用这些符号和字符串来分析代码并识别载荷中的功能。(Citation: Mandiant golang stripped binaries explanation)(Citation: intezer stripped binaries elf files 2018) 攻击者可能使用剥离符号的载荷，以使恶意软件分析更加困难。例如，编译器和其他工具可能提供移除或混淆字符串和符号的功能。攻击者还使用剥离符号的载荷格式，例如仅运行的 AppleScript（[AppleScript](https://attack.mitre.org/techniques/T1059/002) 的编译并剥离版本），以规避检测和分析。缺乏人类可读的信息可能直接妨碍对载荷的检测和分析。(Citation: SentinelLabs reversing run-only applescripts 2021)