T1056.001: 键盘记录

摘要

攻击者可能记录用户击键，以在用户输入凭证时截获它们。当 [OS Credential Dumping](https://attack.mitre.org/techniques/T1003) 手段无效时，键盘记录很可能被用于获取凭证以寻求新的访问机会，并且可能需要攻击者在系统上截获击键相当长一段时间后才能成功捕获凭证。为了提高快速捕获凭证的可能性，攻击者还可能执行诸如清除浏览器 cookie 之类的操作，以迫使用户重新向系统进行身份验证。(Citation: Talos Kimsuky Nov 2021) 键盘记录是最普遍的输入捕获类型，截获击键的方式多种多样。(Citation: Adventures of a Keystroke) 一些方法包括： * 钩取用于处理击键的 API 回调。与 [Credential API Hooking](https://attack.mitre.org/techniques/T1056/004) 不同，这仅专注于旨在处理击键数据的 API 函数。 * 从硬件缓冲区读取原始击键数据。 * 修改 Windows 注册表。 * 自定义驱动程序。 * [Modify System Image](https://attack.mitre.org/techniques/T1601) 可以为攻击者提供对网络设备操作系统的钩子，以读取登录会话的原始击键。(Citation: Cisco Blog Legacy Device Attacks)