T1650: 获取访问权限

摘要

攻击者可能购买或以其他方式获取对目标系统或网络的现有访问权限。有多种在线服务和初始访问经纪人网络可供出售对先前已被攻陷系统的访问权限。(Citation: Microsoft Ransomware as a Service)(Citation: CrowdStrike Access Brokers)(Citation: Krebs Access Brokers Fortune 500) 在某些情况下，攻击者组织可能结成伙伴关系，彼此共享已被攻陷的系统。(Citation: CISA Karakurt 2022) 对被攻陷系统的立足点可能采取多种形式，例如访问已植入的后门（例如：[Web Shell](https://attack.mitre.org/techniques/T1505/003)）或通过[外部远程服务](https://attack.mitre.org/techniques/T1133)建立的访问权限。在某些情况下，访问经纪人会向被攻陷系统植入一个“载入器”，供付费客户安装额外的恶意软件。(Citation: Microsoft Ransomware as a Service) 通过利用现有的访问经纪人网络，而不是开发或获取自己的初始访问能力，攻击者可能减少在目标网络上建立立足点所需的资源，并将其精力集中在攻陷的后续阶段。攻击者可能优先获取对已被确定缺乏安全监控或具有高权限的系统的访问权限，或属于特定行业组织的系统的访问权限。(Citation: Microsoft Ransomware as a Service)(Citation: CrowdStrike Access Brokers) 在某些情况下，购买对 IT 外包、软件开发或电信等行业中某个组织的访问权限，可能使攻击者能够通过[信任关系](https://attack.mitre.org/techniques/T1199)、[多因素身份验证拦截](https://attack.mitre.org/techniques/T1111)甚至[供应链攻陷](https://attack.mitre.org/techniques/T1195)攻陷更多受害者。 **注意：** 虽然此技术不同于[购买技术数据](https://attack.mitre.org/techniques/T1597/002)和[凭据](https://attack.mitre.org/techniques/T1589/001)等其他行为，但它们经常结合使用（尤其是在所获取的立足点需要[有效账户](https://attack.mitre.org/techniques/T1078)的情况下）。