T1679: 选择性排除

摘要

攻击者可能在勒索软件或恶意有效载荷执行期间，故意将某些文件、文件夹、目录、文件类型或系统组件排除在加密或篡改之外。攻击者可能避免加密的一些文件扩展名包括 `.dll`、`.exe` 和 `.lnk`。(Citation: Palo Alto Unit 42 Medusa Group Medusa Ransomware January 2024) 攻击者可能执行此行为以避免提醒用户、规避安全工具和分析师的检测，或者在勒索软件的情况下，确保系统保持足够运行以投递勒索通知。 排除目标可能是那些一旦损坏会导致不稳定、破坏核心服务或立即暴露攻击的文件和组件。通过仔细避开这些区域，攻击者在保持系统响应性的同时，最大限度地减少可能触发警报或以其他方式阻碍其实现目标的指标。