T1529: 系统关机/重启

摘要

攻击者可能关闭/重启系统，以中断对这些系统的访问，或协助破坏这些系统。操作系统可能包含用于启动机器或网络设备关机/重启的命令。在某些情况下，这些命令还可用于通过网络设备 CLI 启动远程计算机或网络设备的关机/重启（例如 <code>reload</code>）。(Citation: Microsoft Shutdown Oct 2017)(Citation: alert_TA18_106A) 它们还可能包括通过管理程序/云控制台或命令行工具关闭/重启虚拟机。 关闭或重启系统可能中断合法用户对计算机资源的访问，同时也妨碍事件响应/恢复。 攻击者还可能使用 Windows API 函数（如 `InitializeSystemShutdownExW` 或 `ExitWindowsEx`）强制系统关机或重启。(Citation: CrowdStrike Blog)(Citation: Unit42 Agrius 2023) 或者，将 `ResponseOption` 参数设置为 `OptionShutdownSystem` 的 `NtRaiseHardError` 或 `ZwRaiseHardError` Windows API 函数，可能向系统发送“蓝屏死机”(BSOD)。(Citation: SonicWall)(Citation: NtRaiseHardError)(Citation: NotMe-BSOD) 为利用这些 API 函数，攻击者可能需要获取 `SeShutdownPrivilege`（例如通过[访问令牌操纵](https://attack.mitre.org/techniques/T1134)）。(Citation: Unit42 Agrius 2023) 在某些情况下，系统可能无法再次启动。 攻击者可能尝试在以其他方式影响系统后（例如[磁盘结构擦除](https://attack.mitre.org/techniques/T1561/002)或[抑制系统恢复](https://attack.mitre.org/techniques/T1490)）关机/重启系统，以加速对系统可用性的预期影响。(Citation: Talos Nyetya June 2017)(Citation: Talos Olympic Destroyer 2018)