T1564.013: 绑定挂载

摘要

攻击者可能滥用文件结构上的绑定挂载，以向原生实用工具隐藏其活动和痕迹。绑定挂载将一个目录或文件从文件系统上的一个位置映射到另一个位置，类似于 Windows 上的快捷方式。它通常用于跨不同环境（例如容器或 chroot 环境内部）提供对特定文件或目录的访问，并且需要 sudo 访问权限。 攻击者可能使用绑定挂载，将空目录或良性的 `/proc` 目录映射到恶意进程的 `/proc` 目录。使用命令 `mount –o bind /proc/benign-process /proc/malicious-process`（或 `mount –B`），恶意进程的 `/proc` 目录会被良性进程的 `/proc` 目录内容所覆盖。当系统实用工具查询进程活动时（例如 `ps` 和 `top`），内核会遵循该绑定挂载，呈现良性目录的内容，而非恶意进程实际的 `/proc` 目录。结果，这些实用工具显示的信息看起来来自良性进程，从而有效地向检测隐藏了恶意进程的元数据、可执行文件或其他痕迹。(Citation: Cado Security Commando Cat 2024)(Citation: Ahn Lab CoinMiner 2023)