T1665: 隐藏基础设施

摘要

攻击者可能操纵网络流量，以隐藏和规避对其 C2 基础设施的检测。这可以通过识别和过滤来自防御工具的流量 (Citation: TA571)、伪装恶意域名以向自动化扫描工具和安全研究人员掩盖真实目的地 (Citation: Schema-abuse)(Citation: Facad1ng)(Citation: Browser-updates)，以及以其他方式隐藏恶意痕迹以延迟发现并延长原本可能被识别、阻止或彻底下架的对手基础设施的有效性来实现。 C2 网络可能包括使用[代理](https://attack.mitre.org/techniques/T1090)或 VPN 来伪装 IP 地址，这可以使攻击者融入正常网络流量，并绕条件访问策略或反滥用保护。例如，攻击者可能使用虚拟私有云来伪造其 IP 地址，以更贴近受害者的 IP 地址范围。这也可能绕过依赖源 IP 地址地理位置的安全措施。(Citation: sysdig)(Citation: Orange Residential Proxies) 攻击者还可能尝试以多种方式过滤网络流量以规避防御工具，包括阻止/重定向常见的应急响应人员或安全设备用户代理。(Citation: mod_rewrite)(Citation: SocGholish-update) 基于 IP 和地理围栏的流量过滤也可能避免自动化沙箱或研究人员活动（即[虚拟化/沙箱规避](https://attack.mitre.org/techniques/T1497)）。(Citation: TA571)(Citation: mod_rewrite) 隐藏 C2 基础设施也可能得到[资源开发](https://attack.mitre.org/tactics/TA0042)活动的支持，例如[获取基础设施](https://attack.mitre.org/techniques/T1583)和[攻陷基础设施](https://attack.mitre.org/techniques/T1584)。例如，为 C2 网络使用广受信任的托管服务或域名（如知名的 URL 缩短提供商或营销服务）可能使攻击者能够呈现良性内容，一旦满足特定条件，这些内容随后会将受害者重定向到恶意网页或基础设施。(Citation: StarBlizzard)(Citation: QR-cofense)