T1673: 虚拟机发现

摘要

攻击者可能在获得对主机或虚拟机监控程序的访问权限后，尝试枚举正在运行的虚拟机（VM）。例如，攻击者可能使用 `esxcli` 或 `vim-cmd` 等[虚拟机监控程序 CLI](https://attack.mitre.org/techniques/T1059/012) 来枚举 ESXi 虚拟机监控程序上的虚拟机列表（例如 `esxcli vm process list` 或 `vim-cmd vmsvc/getallvms`）。(Citation: Crowdstrike Hypervisor Jackpotting Pt 2 2021)(Citation: TrendMicro Play) 攻击者还可能直接利用图形用户界面（如 VMware vCenter）来查看主机上的虚拟机。 攻击者可能在发现期间使用来自[虚拟机发现](https://attack.mitre.org/techniques/T1673)的信息来塑造后续行为。随后发现的虚拟机可能被用于后续活动，例如[服务停止](https://attack.mitre.org/techniques/T1489)或[为造成影响而加密数据](https://attack.mitre.org/techniques/T1486)。(Citation: Crowdstrike Hypervisor Jackpotting Pt 2 2021)