Abgedeckte Mitre-Techniken
Mitre-Techniken | Zusammenfassung | Trainingsszenarien |
|---|---|---|
Malware kann Windows anweisen, bösartige Skripte beim Start oder bei der Anmeldung eines Benutzers auszuführen. | ||
Prozessinjektion, üblicherweise verwendet, um bösartigen Code in einem Zielprozess auszuführen, während der ursprüngliche Prozess weiterlaufen kann. | ||
DLL-Injektion kann verwendet werden, um bösartigen Code in einen Prozess zu laden, indem der Zielprozess einfach angewiesen wird, eine neue DLL zu laden, oder indem eine legitime DLL vor dem Laden ersetzt wird. | ||
Prozessinjektion durch Modifikation des Thread Local Storage, wodurch die Anwendung dazu gebracht wird, während der Thread-Verwaltung bösartigen Code auszuführen. | ||
Prozessinjektion durch Ersetzen von Code in einem Prozess, typischerweise bevor dieser mit der Ausführung beginnt. | ||
Prozessinjektion durch Ausführung einer bösartigen ausführbaren Datei, während das Betriebssystem und Sicherheitsprodukte dazu gebracht werden, eine ältere Version der ausführbaren Datei zu scannen. | ||
PowerShell wird von Windows-Malware häufig verwendet, um die Malware-Einrichtung durchzuführen, z. B. das Ersetzen legitimer Dateien durch bösartige. | ||
Die Durchführung einer Rechteausweitung über Softwareschwachstellen kann es bösartigem Code ermöglichen, Berechtigungseinschränkungen oder virtualisierte Umgebungen zu umgehen. | ||
Malware kann sich selbst auf Wechseldatenträger kopieren, sodass sie beim Anschließen an den nächsten Rechner über Autorun oder Treiberschwachstellen ausgeführt werden kann. | ||
Native APIs bieten oft den direktesten Zugriff auf Betriebssystemfunktionen zum Zugriff auf Dateien, zum Ausführen von Prozessen und mehr. | ||
Die Ausführung durch den Benutzer, häufig durch Phishing erreicht, ist der einfachste Weg, wie Malware zu laufen beginnen kann. | ||
Anmeldedaten könnten gestohlen werden, indem eine verwundbare Software ausgenutzt wird, die vom Benutzer eingegebene Anmeldedaten nicht verschlüsselt. | ||
Das Erstellen oder Modifizieren eines Systemprozesses kann bösartigen Code als normalen, vertrauenswürdigen Systemprozess vor der Malware-Erkennung tarnen. | ||
Malware kann Windows anweisen, bösartige Programme beim Start oder bei der Anmeldung eines Benutzers auszuführen. | ||
Der Missbrauch der Rechteerhöhung kann dazu führen, dass ein Prozess, der normalerweise keine höheren Berechtigungen hätte, erweitert wird, um Zugriff auf geschützte Daten zu erlangen. | ||
Gespeicherte Anmeldedaten aus unverschlüsselten Managern oder Browsern können verwendet werden, um Zugriff auf privilegierte Daten zu erlangen. | ||
Interprozesskommunikation kann dem Injektor die Kontrolle über den Zielprozess ermöglichen, sobald die Injektion abgeschlossen ist. | Trainingsszenario - Prozessinjektion | |
Phishing kann verwendet werden, um einen Benutzer dazu zu bringen, eine Handlung auszuführen, die er sonst nicht getan hätte, wie z. B. das Ausführen eines Skripts oder das Teilen eines Passworts. | ||
Die Injektion in einen Systemdienst wie einen bestehenden | ||
Bösartige DLLs können gezwungen werden, in einen ansonsten legitimen Prozess geladen zu werden. | ||
Ausführbare Ressourcen wie DLLs können durch Missbrauch der Umgebungsvariable | ||
Code-Signaturzertifikate sind eine Möglichkeit für eine Autorität, den Code einer Anwendung zu zertifizieren. Malware kann ein Zertifikat erzeugen, das von keiner Zertifizierungsstelle stammt, aber einen Benutzer glauben machen kann, es sei legitim. | ||
SSL-Zertifikate werden verwendet, um sicherzustellen, dass die Datenübertragung vertrauenswürdig ist. In einer schlecht konfigurierten Umgebung kann Malware in der Lage sein, ihr eigenes SSL-Zertifikat zu installieren, um Man-in-the-Middle-Angriffe zu ermöglichen. |