T1564.005: 隐藏文件系统

摘要

攻击者可能使用隐藏文件系统来向用户和安全工具隐藏恶意活动。文件系统提供了从物理存储中存储和访问数据的结构。通常，用户通过允许其访问文件和目录的应用程序与文件系统交互，这些文件和目录是对其物理位置（例如磁盘扇区）的抽象。标准文件系统包括 FAT、NTFS、ext4 和 APFS。文件系统还可能包含其他结构，例如 NTFS 中的卷引导记录（VBR）和主文件表（MFT）。(Citation: MalwareTech VFS Nov 2014) 攻击者可能使用独立于受感染系统上标准文件系统的自有抽象文件系统。通过这样做，攻击者可以向安全工具隐藏恶意组件的存在以及文件输入/输出。隐藏文件系统（有时称为虚拟文件系统）可以通过多种方式实现。一种实现方式是将文件系统存储在磁盘结构或标准文件系统分区未使用的保留磁盘空间中。(Citation: MalwareTech VFS Nov 2014)(Citation: FireEye Bootkits) 另一种实现方式可能是攻击者在标准文件系统之上放置其自有的可移植分区镜像文件。(Citation: ESET ComRAT May 2020) 攻击者还可能以非标准方式将文件分散到现有文件系统结构中。(Citation: Kaspersky Equation QA)