T1552.008: 聊天消息

摘要

攻击者可能直接从用户通信服务中收集不安全存储或传递的凭据。凭据可能在用户聊天通信应用程序中被发送和存储，例如电子邮件、Slack 或 Teams 等聊天服务、Jira 或 Trello 等协作工具，以及任何其他支持用户通信的服务。用户可能在私人或公共企业内部通信渠道上共享各种形式的凭据（如用户名和密码、API 密钥或身份验证令牌）。 攻击者可能不是访问存储的聊天日志（即[文件中的凭据](https://attack.mitre.org/techniques/T1552/001)），而是直接在用户端点上、通过托管服务的服务器或通过云托管服务的管理员门户访问这些服务内的凭据。攻击者还可能入侵 Slack Workflows 等集成工具，以自动搜索消息来提取用户凭据。然后这些凭据可能被滥用以执行后续活动，如横向移动或权限提升 (Citation: Slack Security Risks)。