T1102.001: 死信箱解析器

摘要

攻击者可能使用现有的、合法的外部 Web 服务来托管指向额外命令与控制(C2)基础设施的信息。攻击者可能在 Web 服务上发布内容(称为死信箱解析器)，其中嵌入(且通常经过混淆/编码)域名或 IP 地址。一旦被感染，受害者将联系这些解析器并被其重定向。 充当 C2 机制的流行网站和社交媒体可能提供相当程度的掩护，因为在沦陷之前，网络内的主机很可能已经在与它们通信。使用常见服务(如 Google 或 Twitter 提供的服务)使攻击者更容易隐藏在预期的噪声中。Web 服务提供商通常使用 SSL/TLS 加密，为攻击者提供了额外的保护层。 使用死信箱解析器还可能保护后端 C2 基础设施免遭通过恶意软件二进制分析进行的发现，同时还能实现运营弹性(因为该基础设施可能被动态更改)。