T1071.003: 邮件协议

摘要

攻击者可能使用与电子邮件传递相关的应用层协议进行通信，通过与现有流量混合来避免检测/网络过滤。发往远程系统的命令，以及这些命令的结果，通常会嵌入客户端与服务器之间的协议流量中。 诸如 SMTP/S、POP3/S 和 IMAP 之类的承载电子邮件的协议在环境中可能非常常见。这些协议产生的数据包可能有许多字段和标头，可以在其中隐藏数据。数据也可以隐藏在电子邮件消息本身中。攻击者可能滥用这些协议与受害者网络中受其控制的系统通信，同时模仿正常、预期的流量。(Citation: FireEye APT28)