T1480.001: 环境密钥化

摘要

攻击者可能对载荷或恶意软件的其他功能进行环境密钥化，以逃避防御并将执行限制在特定目标环境。环境密钥化使用密码学，根据攻击者提供且预期存在于目标上的环境特定条件来约束执行或操作。环境密钥化是[执行护栏](https://attack.mitre.org/techniques/T1480)的一种实现，利用密码学技术从给定计算环境中的特定类型值派生加密/解密密钥。(Citation: EK Clueless Agents) 值可以从目标特定元素派生，并用于为加密载荷生成解密密钥。目标特定值可以从特定网络共享、物理设备、软件/软件版本、文件、加入的 AD 域、系统时间以及本地/外部 IP 地址派生。(Citation: Kaspersky Gauss Whitepaper)(Citation: Proofpoint Router Malvertising)(Citation: EK Impeding Malware Analysis)(Citation: Environmental Keyed HTA) 通过从目标特定环境值生成解密密钥，环境密钥化可以使沙箱检测、反病毒检测、信息众包和逆向工程变得困难。(Citation: Kaspersky Gauss Whitepaper) 这些困难可能拖慢事件响应过程，并帮助攻击者隐藏其战术、技术和程序 (TTP)。 与[混淆的文件或信息](https://attack.mitre.org/techniques/T1027)类似，攻击者可能使用环境密钥化来帮助保护其 TTP 并逃避检测。环境密钥化可用于向目标投递加密载荷，该载荷将使用目标特定值在执行前解密载荷。(Citation: Kaspersky Gauss Whitepaper)(Citation: EK Impeding Malware Analysis)(Citation: Environmental Keyed HTA)(Citation: Demiguise Guardrail Router Logo) 通过利用目标特定值解密载荷，攻击者可以避免将解密密钥与载荷打包在一起，或通过可能受监控的网络连接发送它。根据收集目标特定值的技术，加密载荷的逆向工程可能极其困难。(Citation: Kaspersky Gauss Whitepaper) 这可用于防止能力在不打算入侵或运行的环境中暴露。 与其他[执行护栏](https://attack.mitre.org/techniques/T1480)一样，环境密钥化可用于防止能力在不打算入侵或运行的环境中暴露。此活动与典型的[虚拟化/沙箱规避](https://attack.mitre.org/techniques/T1497)不同。虽然使用[虚拟化/沙箱规避](https://attack.mitre.org/techniques/T1497)可能涉及检查已知沙箱值并仅在不匹配时继续执行，但使用环境密钥化将涉及检查必须匹配的预期目标特定值，解密和后续执行才能成功。