T1219: 远程访问工具

摘要

攻击者可能使用合法的远程访问工具在网络内建立交互式命令与控制通道。远程访问工具通过图形界面、命令行交互、经由开发或管理软件的协议隧道，或硬件级访问（如基于 IP 的 KVM（键盘、视频、鼠标）解决方案）在两个受信任主机之间创建会话。桌面支持软件（通常为图形界面）和远程管理软件（通常为命令行界面）允许用户远程控制计算机，如同本地用户一样继承用户或软件权限。此软件通常用于故障排除、软件安装和系统管理。(Citation: Symantec Living off the Land)(Citation: CrowdStrike 2015 Global Threat Report)(Citation: CrySyS Blog TeamSpy) 攻击者可能同样滥用 EDR 和其他防御工具中包含的、可实现远程访问的响应功能。 远程访问工具可能在入侵后安装和使用，作为冗余访问的备用通信通道，或与目标系统建立交互式远程桌面会话。它也可能用作恶意软件组件，以建立反向连接或回连到服务或攻击者控制的系统。 许多远程访问工具的安装可能还包括持久化（例如，软件的安装例程会创建一个 [Windows 服务](https://attack.mitre.org/techniques/T1543/003)）。远程访问模块/功能也可能作为其他现有软件的一部分存在（例如 Google Chrome 的远程桌面）。(Citation: Google Chrome Remote Desktop)(Citation: Chrome Remote Desktop)