Примеры обнаружения с помощью продуктов "Кода Безопасности":
Техники: T1564 , T1564.001 , T1564.002 , T1564.003 , T1564.004 , T1564.005 , T1564.006 , T1564.007 , T1564.008 , T1564.009 , T1564.010 , T1564.011 , T1564.012
Злоумышленники могут использовать скрытую файловую систему для сокрытия вредоносной деятельности от пользователей и средств защиты. Файловые системы представляют собой структуру для хранения данных и доступа к ним с физических носителей. Обычно пользователь взаимодействует с файловой системой через приложения, которые позволяют ему получать доступ к файлам и каталогам, которые являются абстракцией от их физического расположения (например, сектор диска). Стандартные файловые системы включают FAT, NTFS, ext4 и APFS.Файловые системы могут содержать и другие структуры, например загрузочную запись тома (VBR) и главную файловую таблицу (MFT) в NTFS.(Цит. по: MalwareTech VFS Nov 2014)
Злоумышленники могут использовать собственную абстрактную файловую систему, отдельную от стандартной файловой системы, присутствующей на зараженной системе. Таким образом, злоумышленники могут скрыть присутствие вредоносных компонентов и ввод/вывод файлов от средств защиты. Скрытые файловые системы, иногда называемые виртуальными файловыми системами, могут быть реализованы различными способами.Одним из вариантов реализации является хранение файловой системы в зарезервированном дисковом пространстве, неиспользуемом дисковыми структурами или стандартными разделами файловой системы.(Цитата: MalwareTech VFS Nov 2014)(Цитата: FireEye Bootkits) Другим вариантом реализации может быть размещение Злоумышленником собственного образа портативного раздела в виде файла поверх стандартной файловой системы.(Цитата: ESET ComRAT May 2020) Злоумышленники также могут фрагментировать файлы в существующей структуре файловой системы нестандартными способами.(Цитата: Kaspersky Equation QA)
https://attack.mitre.org/techniques/T1564/005
Визуализация смежных техник для T1564.005
| № | Техника |
|---|
