T1222: 文件和目录权限修改

摘要

攻击者可能修改文件或目录权限/属性，以规避访问控制列表 (ACL) 并访问受保护的文件。(Citation: Hybrid Analysis Icacls1 June 2018)(Citation: Hybrid Analysis Icacls2 May 2018) 文件和目录权限通常由文件或目录所有者或具有适当权限的用户配置的 ACL 管理。文件和目录 ACL 的实现因平台而异，但通常明确指定哪些用户或组可以执行哪些操作（读、写、执行等）。 修改可能包括更改特定访问权限，根据文件或目录的现有权限，这可能需要取得文件或目录的所有权和/或提升的权限。这可能使恶意活动成为可能，例如修改、替换或删除特定文件或目录。特定的文件和目录修改可能是许多技术的必要步骤，例如通过[辅助功能](https://attack.mitre.org/techniques/T1546/008)、[启动或登录初始化脚本](https://attack.mitre.org/techniques/T1037)、[Unix Shell 配置修改](https://attack.mitre.org/techniques/T1546/004)建立持久化，或通过[劫持执行流](https://attack.mitre.org/techniques/T1574)污染/劫持其他关键二进制文件/配置文件。 攻击者还可能更改符号链接的权限。例如，恶意软件（特别是勒索软件）可能修改符号链接和相关设置，以支持从具有远程路径的本地快捷方式访问文件。(Citation: new_rust_based_ransomware)(Citation: bad_luck_blackcat)(Citation: falconoverwatch_blackcat_attack)(Citation: blackmatter_blackcat)(Citation: fsutil_behavior)