T1525: 植入内部镜像

摘要

攻击者可能向云或容器镜像植入恶意代码，以在获得对环境访问权限后建立持久化。Amazon Web Services (AWS) Amazon Machine Images (AMIs)、Google Cloud Platform (GCP) 镜像和 Azure 镜像，以及诸如 Docker 等流行容器运行时，都可能被植入或植入后门。与[上传恶意软件](https://attack.mitre.org/techniques/T1608/001)不同，此技术侧重于攻击者在受害者环境内的注册表中植入镜像。根据基础设施的配置方式，如果基础设施配置工具被指示始终使用最新镜像，这可能提供持久访问。(Citation: Rhino Labs Cloud Image Backdoor Technique Sept 2019) 已开发出一种工具，用于促成在云容器镜像中植入后门。(Citation: Rhino Labs Cloud Backdoor September 2019) 如果攻击者具有对被入侵 AWS 实例的访问权限，以及列出可用容器镜像的权限，他们可能植入诸如 [Web Shell](https://attack.mitre.org/techniques/T1505/003) 之类的后门。(Citation: Rhino Labs Cloud Image Backdoor Technique Sept 2019)