T1497.002: 基于用户活动的检查

摘要

攻击者可能采用各种用户活动检查来检测和规避虚拟化和分析环境。这可能包括根据检查是否存在表明虚拟机环境 (VME) 或沙箱的痕迹的结果来改变行为。如果攻击者检测到 VME，他们可能更改其恶意软件以脱离受害者或隐藏植入物的核心功能。他们还可能在释放次要或额外载荷之前搜索 VME 痕迹。攻击者可能利用在自动发现期间从[虚拟化/沙箱规避](https://attack.mitre.org/techniques/T1497)中学到的信息来塑造后续行为。(Citation: Deloitte Environment Awareness) 攻击者可能基于诸如鼠标移动和点击的速度/频率 (Citation: Sans Virtual Jan 2016)、浏览器历史、缓存、书签，或诸如主目录或桌面等常见目录中的文件数量等变量，搜索主机上的用户活动。其他方法可能依赖于在恶意代码被激活之前与系统的特定用户交互，例如等待文档关闭后才激活宏 (Citation: Unit 42 Sofacy Nov 2018)，或等待用户双击嵌入图像以激活。(Citation: FireEye FIN7 April 2017)