T1490: 抑制系统恢复

摘要

攻击者可能删除或移除内置数据，并关闭旨在帮助恢复损坏系统的服务，以防止恢复。(Citation: Talos Olympic Destroyer 2018)(Citation: FireEye WannaCry 2017) 这可能拒绝对可用备份和恢复选项的访问。 操作系统可能包含有助于修复损坏系统的功能，例如备份目录、卷影副本和自动修复功能。攻击者可能禁用或删除系统恢复功能，以增强[数据破坏](https://attack.mitre.org/techniques/T1485)和[为造成影响而加密数据](https://attack.mitre.org/techniques/T1486)的效果。(Citation: Talos Olympic Destroyer 2018)(Citation: FireEye WannaCry 2017) 此外，攻击者可能禁用恢复通知，然后破坏备份。(Citation: disable_notif_synology_ransom) 攻击者已使用若干原生 Windows 实用工具来禁用或删除系统恢复功能： * <code>vssadmin.exe</code> 可用于删除系统上的所有卷影副本 - <code>vssadmin.exe delete shadows /all /quiet</code> * [Windows Management Instrumentation](https://attack.mitre.org/techniques/T1047) 可用于删除卷影副本 - <code>wmic shadowcopy delete</code> * <code>wbadmin.exe</code> 可用于删除 Windows 备份目录 - <code>wbadmin.exe delete catalog -quiet</code> * <code>bcdedit.exe</code> 可通过修改启动配置数据来禁用自动 Windows 恢复功能 - <code>bcdedit.exe /set {default} bootstatuspolicy ignoreallfailures & bcdedit /set {default} recoveryenabled no</code> * <code>REAgentC.exe</code> 可用于禁用受感染系统的 Windows 恢复环境 (WinRE) 修复/恢复选项 * <code>diskshadow.exe</code> 可用于删除系统上的所有卷影副本 - <code>diskshadow delete shadows all</code> (Citation: Diskshadow) (Citation: Crytox Ransomware) 在网络设备上，攻击者可能利用[磁盘擦除](https://attack.mitre.org/techniques/T1561)删除备份固件镜像并重新格式化文件系统，然后[系统关机/重启](https://attack.mitre.org/techniques/T1529)以重新加载设备。这些活动结合在一起可能使网络设备完全无法运行并抑制恢复操作。 在 ESXi 服务器上，攻击者可能删除或加密虚拟机快照，以支持[为造成影响而加密数据](https://attack.mitre.org/techniques/T1486)，防止它们被用作备份（例如，通过 ` vim-cmd vmsvc/snapshot.removeall`）。(Citation: Cybereason) 攻击者还可能删除连接到其网络的“在线”备份——无论是通过网络存储介质，还是通过同步到云服务的文件夹。(Citation: ZDNet Ransomware Backups 2020) 在云环境中，攻击者可能禁用版本控制和备份策略，并删除快照、数据库备份、机器镜像，以及旨在用于灾难恢复场景的对象先前版本。(Citation: Dark Reading Code Spaces Cyber Attack)(Citation: Rhino Security Labs AWS S3 Ransomware)