T1564.012: 文件/路径排除项

摘要

攻击者可能试图通过将基于文件的痕迹写入被排除在杀毒软件（AV）扫描和其他防御能力之外的特定文件夹或文件名中，来隐藏这些痕迹。AV 和其他基于文件的扫描器通常包含排除项，以优化性能并简化应用程序的安装和合法使用。这些排除项可能是上下文相关的（例如，扫描仅在响应特定触发事件/警报时启动），但也常常是引用被认为可信和合法的特定文件夹和/或文件的硬编码字符串。(Citation: Microsoft File Folder Exclusions) 攻击者可能滥用这些排除项来隐藏其基于文件的痕迹。例如，攻击者可能不会篡改工具设置以添加新的排除项（即[禁用或修改工具](https://attack.mitre.org/techniques/T1685)），而是将其基于文件的载荷放入默认或众所周知的排除项中。攻击者还可能使用[安全软件发现](https://attack.mitre.org/techniques/T1518/001)以及其他[发现](https://attack.mitre.org/tactics/TA0007)/[侦察](https://attack.mitre.org/tactics/TA0043)活动，在受害者环境中发现并验证现有的排除项。