T1102.003: 单向通信

摘要

攻击者可能使用现有的、合法的外部 Web 服务作为向已沦陷系统发送命令而无需通过 Web 服务通道接收返回输出的手段。已沦陷系统可能利用流行网站和社交媒体来托管命令与控制(C2)指令。这些受感染系统可能选择通过不同的 C2 通道将那些命令的输出发回，包括发往另一个不同的 Web 服务。或者，在攻击者希望向系统发送指令且不希望收到响应的情况下，已沦陷系统可能完全不返回任何输出。 充当 C2 机制的流行网站和社交媒体可能提供相当程度的掩护，因为在沦陷之前，网络内的主机很可能已经在与它们通信。使用常见服务(如 Google 或 Twitter 提供的服务)使攻击者更容易隐藏在预期的噪声中。Web 服务提供商通常使用 SSL/TLS 加密，为攻击者提供了额外的保护层。