T1589.001: 凭据

摘要

攻击者可能收集可在目标定位期间使用的凭据。攻击者收集的账户凭据可能是与目标受害者组织直接关联的凭据，也可能是试图利用用户在个人和企业账户之间使用相同密码的倾向。 攻击者可能以各种方式从潜在受害者处收集凭据，例如通过[信息钓鱼](https://attack.mitre.org/techniques/T1598)直接套取。攻击者还可能攻陷站点，然后添加旨在从访问者处收集网站身份验证 cookie 的恶意内容。(Citation: ATT ScanBox) (Citation: Register Deloitte)(Citation: Register Uber)(Citation: Detectify Slack Tokens)(Citation: Forbes GitHub Creds)(Citation: GitHub truffleHog)(Citation: GitHub Gitrob)(Citation: CNET Leaks) 在使用基于带外通信的多因素身份验证（MFA）的情况下，攻击者可能攻陷服务提供商以获取 MFA 代码和一次性密码（OTP）。(Citation: Okta Scatter Swine 2022) 凭据信息还可能通过泄露到在线或其他可访问数据集（例如[搜索引擎](https://attack.mitre.org/techniques/T1593/002)、泄露转储、代码仓库等）而暴露给攻击者。攻击者可能从暗网市场（如 Russian Market 和 2easy）购买凭据，或通过访问分发信息窃取恶意软件日志的 Telegram 频道获取凭据。(Citation: Bleeping Computer 2easy 2021)(Citation: SecureWorks Infostealers 2023)(Citation: Bleeping Computer Stealer Logs 2023) 收集这些信息可能为其他形式的侦察（例如[搜索开放网站/域名](https://attack.mitre.org/techniques/T1593)或[信息钓鱼](https://attack.mitre.org/techniques/T1598)）、建立行动资源（例如[攻陷账户](https://attack.mitre.org/techniques/T1586)）和/或初始访问（例如[外部远程服务](https://attack.mitre.org/techniques/T1133)或[有效账户](https://attack.mitre.org/techniques/T1078)）揭示机会。