T1095: 非应用层协议

摘要

攻击者可能使用 OSI 非应用层协议在主机与 C2 服务器之间，或在网络内受感染主机之间进行通信。可能的协议列表非常庞大。(Citation: Wikipedia OSI)具体示例包括使用网络层协议(如 Internet 控制消息协议 ICMP)、传输层协议(如用户数据报协议 UDP)、会话层协议(如 Socket Secure SOCKS)，以及重定向/隧道协议(如 Serial over LAN SOL)。 主机之间的 ICMP 通信就是一个例子。(Citation: Cisco Synful Knock Evolution)由于 ICMP 是 Internet 协议套件的一部分，所有兼容 IP 的主机都必须实现它。(Citation: Microsoft ICMP)然而，它不像 TCP 或 UDP 等其他 Internet 协议那样经常受到监控，因此可能被攻击者用来隐藏通信。 在 ESXi 环境中，攻击者可能利用虚拟机通信接口(VMCI)在客户虚拟机与 ESXi 主机之间进行通信。此类流量类似于传统网络套接字上的客户端-服务器通信，但局限于运行 ESXi 主机的物理机器，这意味着它不会经过外部网络(路由器、交换机)。因此，这种通信对 tcpdump、netstat、nmap 和 Wireshark 等外部监控和标准网络工具不可见。通过向已攻陷的 ESXi 主机添加 VMCI 后门，攻击者可以从任意客户 VM 持续地重新获得对已攻陷 ESXi 主机后门的访问权限，无论是否存在网络分段或防火墙规则。(Citation: Google Cloud Threat Intelligence VMWare ESXi Zero-Day 2023)