T1554: 入侵主机软件二进制文件

摘要

攻击者可能修改主机软件二进制文件以建立对系统的持久性访问。软件二进制文件/可执行文件提供广泛的系统命令或服务、程序和库。常见的软件二进制文件包括 SSH 客户端、FTP 客户端、电子邮件客户端、Web 浏览器以及许多其他用户或服务器应用程序。 攻击者可能通过对主机软件二进制文件的修改来建立持久化。例如，攻击者可能用后门替换或以其他方式感染合法应用程序二进制文件（或支持文件）。由于这些二进制文件可能由应用程序或用户例行执行，攻击者可以利用这一点获得对主机的持久性访问。攻击者还可能修改诸如 SSH 客户端之类的软件二进制文件，以便在登录期间持久性地收集凭据（即[修改身份验证过程](https://attack.mitre.org/techniques/T1556)）。(Citation: Google Cloud Mandiant UNC3886 2024) 攻击者还可能通过在二进制文件合法执行之前修补恶意功能（例如 IAT 挂钩/入口点修补）来修改现有二进制文件 (Citation: Unit42 Banking Trojans Hooking 2022)。例如，攻击者可能修改二进制文件的入口点，使其指向攻击者在恢复正常执行流程之前修补进来的恶意代码。(Citation: ESET FontOnLake Analysis 2021) 在修改二进制文件后，攻击者可能试图通过阻止其更新来削弱防御（例如，通过 Linux 系统上使用 yum 包管理器的 `yum-versionlock` 命令或 `versionlock.list` 文件）。(Citation: Google Cloud Mandiant UNC3886 2024)