T1584: 攻陷基础设施

摘要

攻击者可能攻陷可在目标定位期间使用的第三方基础设施。基础设施解决方案包括物理或云服务器、域名、网络设备以及第三方 Web 和 DNS 服务。攻击者可能攻陷基础设施并在攻击者生命周期的其他阶段使用它，而不是购买、租赁或租用它。(Citation: Mandiant APT1)(Citation: ICANNDomainNameHijacking)(Citation: Talos DNSpionage Nov 2018)(Citation: FireEye EPS Awakens Part 2) 此外，攻击者可能攻陷大量机器以形成其可以利用的僵尸网络。 使用被攻陷的基础设施使攻击者能够暂存、启动和执行操作。被攻陷的基础设施可以帮助攻击者行动混入被视为正常的流量中，例如与高声誉或受信任站点的联系。例如，攻击者可能利用被攻陷的基础设施（可能还与[数字证书](https://attack.mitre.org/techniques/T1588/004)结合使用）进一步混入并支持分阶段的信息收集和/或[钓鱼](https://attack.mitre.org/techniques/T1566)活动。(Citation: FireEye DNS Hijack 2019) 攻击者还可能攻陷大量机器以支持[代理](https://attack.mitre.org/techniques/T1090)和/或代理软件服务，或形成僵尸网络。(Citation: amnesty_nso_pegasus)(Citation: Sysdig Proxyjacking) 此外，攻击者可能攻陷靠近目标的基础设施，以通过 [Wi-Fi 网络](https://attack.mitre.org/techniques/T1669)获得[初始访问](https://attack.mitre.org/tactics/TA0001)。(Citation: Nearest Neighbor Volexity) 通过使用被攻陷的基础设施，攻击者可能促成后续恶意操作。在目标定位之前，攻击者还可能攻陷其他攻击者的基础设施。(Citation: NSA NCSC Turla OilRig)