T1205: 流量信令

摘要

攻击者可能使用流量信令来隐藏开放端口或用于持久化或命令与控制的其他恶意功能。流量信令涉及使用一个魔术值或序列，必须将其发送到系统才能触发特殊响应，例如打开一个已关闭的端口或执行恶意任务。这可能采取的形式是在将攻击者可用于命令与控制的端口打开之前，发送一系列具有特定特征的数据包。通常这系列数据包由尝试连接到预定义的一系列关闭端口组成（即[端口敲门](https://attack.mitre.org/techniques/T1205/001)），但也可能涉及异常标志、特定字符串或其他独特特征。序列完成后，打开端口可能由基于主机的防火墙完成，但也可能由自定义软件实现。 攻击者也可能与已打开的端口通信，但监听该端口的服务只有在被传入适当的魔术值时才响应命令或触发其他恶意功能。 对触发通信的信令数据包的观察可以通过不同方法进行。一种方法最初由 Cd00r 实现 (Citation: Hartrell cd00r 2002)，即使用 libpcap 库来嗅探相关数据包。另一种方法利用原始套接字，这使恶意软件能够使用已被其他程序打开使用的端口。 在网络设备上，攻击者可能使用特制数据包为设备提供的标准服务（如 telnet）启用[网络设备认证](https://attack.mitre.org/techniques/T1556/004)。此类信令还可用于打开已关闭的服务端口（如 telnet），或触发设备上恶意植入模块的修改，增加、移除或更改恶意能力。攻击者可能使用特制数据包尝试连接到一个或多个（打开或关闭）端口，但也可能尝试连接到路由器接口、广播和网络地址 IP 的同一端口，以实现其目标。(Citation: Cisco Synful Knock Evolution)(Citation: Mandiant - Synful Knock)(Citation: Cisco Blog Legacy Device Attacks) 为在嵌入式设备上启用此流量信令，攻击者必须首先实现并利用[修补系统镜像](https://attack.mitre.org/techniques/T1601/001)，因为该架构具有整体性。 攻击者还可能使用 Wake-on-LAN 功能开启已关机的系统。Wake-on-LAN 是一种硬件功能，允许通过向其发送魔术数据包来开机或唤醒已关闭的系统。一旦系统开机，它可能成为横向移动的目标。(Citation: Bleeping Computer - Ryuk WoL)(Citation: AMD Magic Packet)