T1072: 软件部署工具

摘要

攻击者可能获取并使用企业内安装的集中式软件套件来执行命令并在网络中横向移动。配置管理和软件部署应用程序可能在企业网络或云环境中用于日常管理目的。这些系统也可能集成到 CI/CD 流水线中。此类解决方案的示例包括：SCCM、HBSS、Altiris、AWS Systems Manager、Microsoft Intune、Azure Arc 和 GCP Deployment Manager。 对网络范围或企业范围端点管理软件的访问可能使攻击者能够在所有连接的系统上实现远程代码执行。这种访问可用于横向移动到其他系统、收集信息或造成特定效果，例如擦除所有端点上的硬盘驱动器。 基于 SaaS 的配置管理服务可能允许对云托管实例进行广泛的 [Cloud Administration Command](https://attack.mitre.org/techniques/T1651)，以及在本地端点上执行任意命令。例如，Microsoft Configuration Manager 允许全局管理员或 Intune 管理员在加入 Entra ID 的本地设备上以 SYSTEM 身份运行脚本。(Citation: SpecterOps Lateral Movement from Azure to On-Prem AD 2020)此类服务还可能利用 [Web Protocols](https://attack.mitre.org/techniques/T1071/001) 与攻击者拥有的基础设施通信。(Citation: Mitiga Security Advisory: SSM Agent as Remote Access Trojan) 网络基础设施设备也可能具有配置管理工具，攻击者可以类似地滥用。(Citation: Fortinet Zero-Day and Custom Malware Used by Suspected Chinese Actor in Espionage Operation) 此操作所需的权限因系统配置而异；如果可以直接访问第三方系统，本地凭证可能就足够，或者可能需要特定的域凭证。然而，系统可能需要管理员账户才能登录或访问特定功能。