T1102.002: 双向通信

摘要

攻击者可能使用现有的、合法的外部 Web 服务作为通过 Web 服务通道向已沦陷系统发送命令并接收其输出的手段。已沦陷系统可能利用流行网站和社交媒体来托管命令与控制(C2)指令。随后，这些受感染系统可以通过该 Web 服务通道将那些命令的输出发回。返回流量可能以多种方式出现，具体取决于所使用的 Web 服务。例如，返回流量可能表现为已沦陷系统在论坛上发布评论、向开发项目提交 pull request、更新托管在 Web 服务上的文档，或发送一条 Tweet。 充当 C2 机制的流行网站和社交媒体可能提供相当程度的掩护，因为在沦陷之前，网络内的主机很可能已经在与它们通信。使用常见服务(如 Google 或 Twitter 提供的服务)使攻击者更容易隐藏在预期的噪声中。Web 服务提供商通常使用 SSL/TLS 加密，为攻击者提供了额外的保护层。