T1136.001: 本地账户

摘要

攻击者可能创建本地账户以维持对受害者系统的访问。本地账户是组织为在单个系统或服务上供用户、远程支持、服务或管理用途而配置的账户。 例如，在拥有足够访问级别的情况下，Windows 的 <code>net user /add</code> 命令可用于创建本地账户。在 Linux 中，可以使用 `useradd` 命令，而在 macOS 系统上，可以使用 <code>dscl -create</code> 命令。本地账户也可以添加到网络设备，通常通过常见的 [Network Device CLI](https://attack.mitre.org/techniques/T1059/008) 命令(如 <code>username</code>)，通过 `esxcli system account add` 添加到 ESXi 服务器，或使用 `kubectl` 实用程序添加到 Kubernetes 集群。(Citation: cisco_username_cmd)(Citation: Kubernetes Service Accounts Security) 攻击者还可能在网络防火墙管理控制台上创建新的本地账户——例如，通过利用存在漏洞的防火墙管理系统，威胁行为者可能能够建立可用于修改防火墙规则并获得对网络进一步访问的超级管理员账户。(Citation: Cyber Security News) 此类账户可用于建立辅助的凭据访问，而无需在系统上部署持久的远程访问工具。