T1133: 外部远程服务

摘要

攻击者可能利用面向外部的远程服务来初步访问和/或在网络内维持持久化。诸如 VPN、Citrix 和其他访问机制之类的远程服务允许用户从外部位置连接到内部企业网络资源。通常存在远程服务网关来管理这些服务的连接和凭证认证。诸如 [Windows Remote Management](https://attack.mitre.org/techniques/T1021/006) 和 [VNC](https://attack.mitre.org/techniques/T1021/005) 之类的服务也可以在外部使用。(Citation: MacOS VNC software for Remote Desktop) 通常需要访问 [Valid Accounts](https://attack.mitre.org/techniques/T1078) 才能使用该服务，这可以通过凭证网络钓鱼(credential pharming)或在攻陷企业网络后从用户处获得凭证来获取。(Citation: Volexity Virtual Private Keylogging)在一次操作期间，对远程服务的访问可能被用作冗余或持久的访问机制。 访问也可能通过不需要认证的暴露服务获得。在容器化环境中，这可能包括暴露的 Docker API、Kubernetes API 服务器、kubelet，或诸如 Kubernetes dashboard 之类的 Web 应用程序。(Citation: Trend Micro Exposed Docker Server)(Citation: Unit 42 Hildegard Malware) 攻击者还可能通过在已沦陷系统上配置 Tor 隐藏服务来在网络中建立持久化。攻击者可能利用工具 `ShadowLink` 来促进 Tor 隐藏服务的安装和配置。由于 `ShadowLink` 在已沦陷系统上设置了 .onion 地址，因此 Tor 隐藏服务随后可通过 Tor 网络访问。`ShadowLink` 可能被用于将所有入站连接转发到 RDP，从而使攻击者能够进行远程访问。(Citation: The BadPilot campaign)攻击者可能通过将 `ShadowLink` 伪装成 MS Defender 应用程序，使其在系统上持久存在。(Citation: Russian threat actors dig in, prepare to seize on war fatigue)