T1036.002: 从右到左覆盖

摘要

攻击者可能滥用从右到左覆盖（RTLO 或 RLO）字符（U+202E）来伪装字符串和/或文件名，使其看起来无害。RTLO 是一种非打印 Unicode 字符，会使紧随其后的文本反向显示。例如，名为 <code>March 25 \u202Excod.scr</code> 的 Windows 屏幕保护程序可执行文件将显示为 <code>March 25 rcs.docx</code>。名为 <code>photo_high_re\u202Egnp.js</code> 的 JavaScript 文件将显示为 <code>photo_high_resj.png</code>。(Citation: Infosecinstitute RTLO Technique) 攻击者可能滥用 RTLO 字符作为诱骗用户执行其认为是无害文件类型的一种手段。此技术的常见用途是与[鱼叉式钓鱼附件](https://attack.mitre.org/techniques/T1566/001)/[恶意文件](https://attack.mitre.org/techniques/T1204/002)结合使用，因为如果最终用户和防御者不了解其工具如何显示和呈现 RTLO 字符，它可以同时欺骗两者。在许多针对性入侵尝试和犯罪活动中都已发现 RTLO 字符的使用。(Citation: Trend Micro PLEAD RTLO)(Citation: Kaspersky RTLO Cyber Crime) RTLO 也可用于 Windows 注册表中，其中 regedit.exe 显示反向字符，但命令行工具 reg.exe 默认不显示。