T1204.002: 恶意文件

摘要

攻击者可能依赖用户打开恶意文件来获得执行。用户可能受到社会工程影响，被诱导打开将导致代码执行的文件。此用户操作通常会被观察为[鱼叉式网络钓鱼附件](https://attack.mitre.org/techniques/T1566/001)的后续行为。攻击者可能使用多种需要用户执行的文件类型，包括 .doc、.pdf、.xls、.rtf、.scr、.exe、.lnk、.pif、.cpl、.reg 和 .iso。(Citation: Mandiant Trojanized Windows 10) 攻击者可能采用各种形式的[伪装](https://attack.mitre.org/techniques/T1036)和[混淆的文件或信息](https://attack.mitre.org/techniques/T1027)，以提高用户打开并成功执行恶意文件的可能性。这些方法可能包括使用熟悉的命名约定和/或对文件进行密码保护并向用户提供如何打开它的说明。(Citation: Password Protected Word Docs) 虽然[恶意文件](https://attack.mitre.org/techniques/T1204/002)经常发生在初始访问后不久，但它也可能发生在入侵的其他阶段，例如攻击者将文件放在共享目录或用户桌面上，期望用户点击它。此活动也可能在[内部鱼叉式网络钓鱼](https://attack.mitre.org/techniques/T1534)后不久被观察到。