T1497.001: 系统检查

摘要

攻击者可能采用各种系统检查来检测和规避虚拟化和分析环境。这可能包括根据检查是否存在表明虚拟机环境 (VME) 或沙箱的痕迹的结果来改变行为。如果攻击者检测到 VME，他们可能更改其恶意软件以脱离受害者或隐藏植入物的核心功能。他们还可能在释放次要或额外载荷之前搜索 VME 痕迹。攻击者可能利用在自动发现期间从[虚拟化/沙箱规避](https://attack.mitre.org/techniques/T1497)中学到的信息来塑造后续行为。(Citation: Deloitte Environment Awareness) 具体检查将因目标和/或攻击者而异，但可能涉及诸如 [Windows Management Instrumentation](https://attack.mitre.org/techniques/T1047)、[PowerShell](https://attack.mitre.org/techniques/T1059/001)、[系统信息发现](https://attack.mitre.org/techniques/T1082)和[查询注册表](https://attack.mitre.org/techniques/T1012)等行为，以获取系统信息并搜索 VME 痕迹。攻击者可能在内存、进程、文件系统、硬件和/或注册表中搜索 VME 痕迹。攻击者可能使用脚本将这些检查自动化到一个脚本中，然后在确定系统是虚拟环境时让程序退出。 检查可能包括通用系统属性，例如主机/域名和网络流量样本。攻击者还可能检查网络适配器地址、CPU 核心数和可用内存/驱动器大小。一旦执行，恶意软件还可能使用[文件和目录发现](https://attack.mitre.org/techniques/T1083)来检查它是否被保存在具有意外甚至与分析相关的命名痕迹（如 `malware`、`sample` 或 `hash`）的文件夹或文件中。 其他常见检查可能枚举这些应用程序独有的正在运行的服务、系统上已安装的程序、与虚拟机应用程序相关字符串的制造商/产品字段，以及 VME 特定的硬件/处理器指令。(Citation: McAfee Virtual Jan 2017) 在 VMWare 等应用程序中，攻击者还可以使用特殊的 I/O 端口发送命令并接收输出。 硬件检查（例如是否存在风扇、温度和音频设备）也可用于收集可能表明虚拟环境的证据。攻击者还可能查询这些设备的特定读数。(Citation: Unit 42 OilRig Sept 2018)