T1027.011: 无文件存储

摘要

攻击者可能以“无文件”格式存储数据，以向防御方隐藏恶意活动。无文件存储可以广义地定义为除文件之外的任何格式。Windows 系统中常见的非易失性无文件存储示例包括 Windows 注册表、事件日志或 WMI 存储库。(Citation: Microsoft Fileless)(Citation: SecureList Fileless) Linux 系统上的共享内存目录（`/dev/shm`、`/run/shm`、`/var/run` 和 `/var/lock`）以及网络设备上的易失性目录（`/tmp` 和 `/volatile`）也可视为无文件存储，因为写入这些目录的文件直接映射到 RAM 而不存储在磁盘上。(Citation: Elastic Binary Executed from Shared Memory Directory)(Citation: Akami Frog4Shell 2024)(Citation: Aquasec Muhstik Malware 2024)(Citation: Bitsight 7777 Botnet)(Citation: CISCO Nexus 900 Config)。 与[反射式代码加载](https://attack.mitre.org/techniques/T1620)和[进程注入](https://attack.mitre.org/techniques/T1055)等无文件内存中行为类似，无文件数据存储可能不会被防病毒软件和其他只能访问磁盘存储中特定文件格式的终端安全工具检测到。利用无文件存储还可能使攻击者绕过 Linux 中只读文件系统提供的保护。(Citation: Sysdig Fileless Malware 23022) 攻击者可能使用无文件存储来隐藏各类存储数据，包括载荷/shellcode（可能作为[持久化](https://attack.mitre.org/tactics/TA0003)的一部分使用）以及尚未从受害者外泄的已收集数据（例如[本地数据暂存](https://attack.mitre.org/techniques/T1074/001)）。攻击者在存储时还经常加密、编码、拼接或以其他方式混淆这些无文件数据。 某些形式的无文件存储活动可能在文件系统中间接创建产物，但采用集中且难以检查的格式，例如 WMI（例如 `%SystemRoot%\System32\Wbem\Repository`）或注册表（例如 `%SystemRoot%\System32\Config`）的物理文件。(Citation: Microsoft Fileless)