T1205.002: 套接字过滤器

摘要

攻击者可能将过滤器附加到网络套接字，以监控然后激活用于持久化或命令与控制的后门。拥有提升的权限后，攻击者可以使用 `libpcap` 库等功能打开套接字并安装过滤器，以允许或禁止某些类型的数据通过套接字。该过滤器可能应用于通过指定网络接口的所有流量（如果未指定，则应用于每个接口）。当网络接口收到与过滤条件匹配的数据包时，可以在主机上触发其他操作，例如激活反向 shell。 为建立连接，攻击者向目标主机发送与已安装过滤条件匹配的特制数据包。(Citation: haking9 libpcap network sniffing) 攻击者已使用这些套接字过滤器触发植入物的安装、执行回连，以及调用命令 shell。与这些套接字过滤器的通信也可能与[协议隧道](https://attack.mitre.org/techniques/T1572)结合使用。(Citation: exatrack bpf filters passive backdoors)(Citation: Leonardo Turla Penquin May 2020) 过滤器可以安装在任何安装了 `libpcap` 的类 Unix 平台上，或在使用 `Winpcap` 的 Windows 主机上。攻击者可以使用带 `pcap_setfilter` 的 `libpcap`，或使用带 `SO_ATTACH_FILTER` 选项的标准库函数 `setsockopt`。由于套接字连接在收到数据包之前处于非活动状态，此行为可能难以检测，因为主机上缺乏活动、CPU 开销低，以及对原始套接字使用的可见性有限。