T1608.002: 上传工具

摘要

攻击者可能将工具上传到第三方或攻击者控制的基础设施，使其在定位阶段可被访问。工具可以是开源或闭源的、免费或商业的。工具可被攻击者用于恶意目的，但与恶意软件不同，它们并非为此类目的而设计（例如：[PsExec](https://attack.mitre.org/software/S0029)）。攻击者可能上传工具以支持其行动，例如将工具放置在互联网可访问的 Web 服务器上，使其可供受害者网络使用，从而实现[入口工具转移](https://attack.mitre.org/techniques/T1105)。 工具可能被放置在攻击者先前购买/租用的基础设施（[获取基础设施](https://attack.mitre.org/techniques/T1583)）或由他们以其他方式攻陷的基础设施（[攻陷基础设施](https://attack.mitre.org/techniques/T1584)）上。(Citation: Dell TG-3390) 工具还可以投放在 Web 服务（如攻击者控制的 GitHub 仓库）上，或投放在使用户能够轻松配置应用程序的平台即服务产品上。(Citation: Dragos Heroku Watering Hole)(Citation: Malwarebytes Heroku Skimmers)(Citation: Intezer App Service Phishing) 攻击者可以让被攻陷的受害者机器直接从第三方托管位置（例如：非攻击者控制的 GitHub 仓库）下载工具，包括该工具的原始托管站点，从而避免上传工具的需要。