T1564.002: 隐藏用户

摘要

攻击者可能使用隐藏用户来隐藏其创建或修改的用户账户的存在。当给定系统上有许多用户账户时，或者当管理员希望向其他用户隐藏其管理账户或其他管理账户时，管理员可能希望隐藏用户。 在 macOS 中，攻击者可以通过操纵 plist 文件、文件夹属性和用户属性，创建或修改用户使其被隐藏。为阻止用户在登录屏幕和系统偏好设置中显示，攻击者可以将 userID 设置为低于 500，并在 <code>/Library/Preferences/com.apple.loginwindow</code> plist 文件中将键值 <code>Hide500Users</code> 设置为 <code>TRUE</code>。(Citation: Cybereason OSX Pirrit) 每个用户都有一个与之关联的 userID。当 <code>Hide500Users</code> 键值设置为 <code>TRUE</code> 时，userID 低于 500 的用户不会出现在登录屏幕和系统偏好设置中。使用命令行，攻击者可以使用 <code>dscl</code> 实用程序，通过将 <code>IsHidden</code> 属性设置为 <code>1</code> 来创建隐藏用户账户。攻击者还可以通过将 <code>chflags</code> 更改为隐藏来隐藏用户的主文件夹。(Citation: Apple Support Hide a User Account) 攻击者可能以类似方式在 Windows 中隐藏用户账户。攻击者可以将 <code>HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\SpecialAccounts\UserList</code> 注册表键值设置为 <code>0</code>，以防止特定用户被列在登录屏幕上。(Citation: FireEye SMOKEDHAM June 2021)(Citation: US-CERT TA18-074A) 在 Linux 系统上，攻击者可能从登录屏幕（也称为 greeter）隐藏用户账户。攻击者可能使用的方法取决于发行版当前使用的显示管理器。例如，在使用 GNOME 显示管理器（GDM）的 Ubuntu 系统上，可以使用 <code>gsettings</code> 命令从 greeter 隐藏账户（例如：<code>sudo -u gdm gsettings set org.gnome.login-screen disable-user-list true</code>）。(Citation: Hide GDM User Accounts) 显示管理器并不固定于特定发行版，用户或攻击者可能对其进行更改。