text: 攻击者通过钓鱼邮件投递带宏的 Office 文档，用户启用宏后执行 PowerShell 下载后续载荷。

tactics: initial-access execution

difficulty: medium

rationale: 技术映射见 tags 与 techniques；标注遵循 ATT&CK 企业矩阵。


text: 勒索软件在内网横向移动后加密文件并删除卷影副本以阻止恢复。

tactics: lateral-movement impact


text: Web 应用存在文件上传缺陷被利用上传 webshell，攻击者借此获得服务器命令执行能力。

tactics: initial-access persistence

difficulty: easy


text: 攻击者使用 mimikatz 从 LSASS 进程内存中转储凭据，随后用 pass-the-hash 在域内横向移动。

tactics: credential-access lateral-movement

difficulty: hard


text: 恶意程序在注册表 Run 键写入自启动项以实现持久化。


text: 攻击者创建计划任务，使后门每天定时回连 C2。

tactics: persistence command-and-control


text: 样本通过 DNS 隧道与外部服务器通信以规避检测。


text: 攻击者对暴露在公网的 RDP 服务进行口令喷洒以获取有效凭据。

tactics: credential-access initial-access


text: 入侵后攻击者清除 Windows 安全事件日志以掩盖痕迹。


text: 载荷经过多层混淆与编码，运行时再解码释放真实代码。


text: 攻击者利用进程注入将恶意代码注入合法进程以躲避终端检测。

tactics: defense-evasion privilege-escalation


text: 失陷主机上的木马枚举域内主机、当前进程与网络配置以摸清环境。


text: 攻击者将收集到的敏感文件打包压缩后通过 C2 通道外发。

tactics: collection exfiltration


text: 攻击者把窃取的数据上传到合法云存储服务以混入正常流量。


text: 对手通过被入侵的软件更新渠道分发带后门的安装包，污染下游用户。


text: 攻击者使用窃取的云账号登录控制台并提升权限。


text: 样本检测虚拟机与沙箱特征，若处于分析环境则不执行恶意行为。


text: 攻击者用 rundll32 加载恶意 DLL 以规避基于进程名的检测。


text: 入侵者新建本地管理员账户作为隐蔽的持久化通道。


text: 攻击者修改系统认证组件以在登录流程中植入后门。


text: 僵尸网络对目标网站发起大规模流量耗尽其网络带宽。


text: 对手利用受信任的第三方运维通道进入目标内网。


text: 攻击者通过 SMB 管理共享在主机间复制并远程执行载荷。


text: 恶意宏调用 mshta 执行远程 HTA 脚本下载第二阶段载荷。

tactics: execution defense-evasion


text: 攻击者枚举目标组织员工邮箱与域账户为后续钓鱼做准备。


text: 木马使用加密的 HTTPS 信道与 C2 通信以隐藏指令内容。


text: 攻击者删除关键文件并停止数据库服务造成业务中断。


text: 攻击者从域控转储 NTDS.dit 以获取全域账户哈希。


text: 攻击者用键盘记录器捕获用户输入的口令并定期回传。

tactics: collection credential-access

rationale: 技术映射遵循 ATT&CK 企业矩阵；只标技术不标归因。


text: 木马定时截取受害者屏幕画面以窃取敏感信息。

rationale: 技术映射遵循 ATT&CK 企业矩阵；只标技术不标归因。


text: 攻击者收集本地 Outlook 邮件存档以寻找凭据与商业信息。

rationale: 技术映射遵循 ATT&CK 企业矩阵；只标技术不标归因。


text: 入侵者把待外传的数据集中暂存到一个隐藏目录再统一打包。

rationale: 技术映射遵循 ATT&CK 企业矩阵；只标技术不标归因。


text: 恶意程序通过未加密的 HTTP 将数据分块外发以绕过 DLP。

rationale: 技术映射遵循 ATT&CK 企业矩阵；只标技术不标归因。


text: 失陷服务器被植入挖矿程序，占用大量 CPU 资源。

rationale: 技术映射遵循 ATT&CK 企业矩阵；只标技术不标归因。


text: 攻击者篡改企业内部门户首页内容进行内部示威。

rationale: 技术映射遵循 ATT&CK 企业矩阵；只标技术不标归因。


text: 破坏性攻击直接擦除磁盘分区使主机无法启动。

rationale: 技术映射遵循 ATT&CK 企业矩阵；只标技术不标归因。


text: 载荷运行后先停用并卸载终端杀毒软件再执行后续动作。

rationale: 技术映射遵循 ATT&CK 企业矩阵；只标技术不标归因。


text: 攻击者利用合法程序的 DLL 搜索顺序进行侧加载执行恶意 DLL。

rationale: 技术映射遵循 ATT&CK 企业矩阵；只标技术不标归因。


text: 样本通过绕过 UAC 提升到管理员权限。

tactics: privilege-escalation defense-evasion

rationale: 技术映射遵循 ATT&CK 企业矩阵；只标技术不标归因。


text: 攻击者利用一个本地内核漏洞将权限提升至 SYSTEM。

rationale: 技术映射遵循 ATT&CK 企业矩阵；只标技术不标归因。


text: 入侵者操纵访问令牌以另一个高权限用户身份执行操作。

rationale: 技术映射遵循 ATT&CK 企业矩阵；只标技术不标归因。


text: 后门通过 WMI 事件订阅实现无文件持久化。

tactics: persistence privilege-escalation

rationale: 技术映射遵循 ATT&CK 企业矩阵；只标技术不标归因。


text: C2 流量伪装成对知名云服务的正常 API 调用。

rationale: 技术映射遵循 ATT&CK 企业矩阵；只标技术不标归因。


text: 攻击者部署商用远程控制软件作为隐蔽访问通道。

rationale: 技术映射遵循 ATT&CK 企业矩阵；只标技术不标归因。


text: 对手注册与目标品牌相似的域名用于钓鱼基础设施。

rationale: 技术映射遵循 ATT&CK 企业矩阵；只标技术不标归因。


text: 攻击前期收集目标员工的姓名、邮箱与职务用于定向钓鱼。

rationale: 技术映射遵循 ATT&CK 企业矩阵；只标技术不标归因。


text: 攻击者从内部 Wiki 与工单系统中检索凭据与架构文档。

rationale: 技术映射遵循 ATT&CK 企业矩阵；只标技术不标归因。


text: 样本窃取浏览器中保存的会话 Cookie 以绕过二次验证。

rationale: 技术映射遵循 ATT&CK 企业矩阵；只标技术不标归因。


text: 攻击者在配置文件与脚本中搜索硬编码的明文凭据。

rationale: 技术映射遵循 ATT&CK 企业矩阵；只标技术不标归因。


text: 入侵者枚举域内用户组与域信任关系以规划提权路径。

rationale: 技术映射遵循 ATT&CK 企业矩阵；只标技术不标归因。


text: 攻击者修改组策略对象向全域主机下发恶意脚本。

rationale: 技术映射遵循 ATT&CK 企业矩阵；只标技术不标归因。


text: 样本查询主机的杀软、补丁与安全配置以评估检测风险。

rationale: 技术映射遵循 ATT&CK 企业矩阵；只标技术不标归因。


text: 攻击者反复触发 MFA 推送通知，诱导用户因疲劳而点击同意。

rationale: 技术映射遵循 ATT&CK 企业矩阵；只标技术不标归因。


text: 入侵者对一批已知用户名逐一尝试常见弱口令以登录。

rationale: 技术映射遵循 ATT&CK 企业矩阵；只标技术不标归因。


text: 攻击者访问配置错误、可公开读取的对象存储桶并下载其中数据。

rationale: 技术映射遵循 ATT&CK 企业矩阵；只标技术不标归因。


text: 容器内进程利用内核漏洞逃逸到宿主机。

rationale: 技术映射遵循 ATT&CK 企业矩阵；只标技术不标归因。


text: 攻击者通过 SSRF 访问云实例元数据接口获取临时访问凭据。

rationale: 技术映射遵循 ATT&CK 企业矩阵；只标技术不标归因。


text: 攻击者请求服务账户的 Kerberos 服务票据并离线破解其口令。

rationale: 技术映射遵循 ATT&CK 企业矩阵；只标技术不标归因。


text: 攻击者利用域控复制权限通过 DCSync 提取账户哈希。

rationale: 技术映射遵循 ATT&CK 企业矩阵；只标技术不标归因。


text: 攻击者在交换机镜像口被入侵后嗅探内网明文流量。

tactics: credential-access discovery

rationale: 技术映射遵循 ATT&CK 企业矩阵；只标技术不标归因。


text: 攻击者投毒 LLMNR/NBT-NS 响应进行中间人以窃取 NTLM 哈希。

tactics: credential-access collection

rationale: 技术映射遵循 ATT&CK 企业矩阵；只标技术不标归因。


text: 失陷主机对内网网段进行端口与服务扫描以发现可攻击目标。

rationale: 技术映射遵循 ATT&CK 企业矩阵；只标技术不标归因。


text: 木马枚举内网可访问的网络共享以寻找敏感文件。

rationale: 技术映射遵循 ATT&CK 企业矩阵；只标技术不标归因。


text: 攻击者安装内核级 rootkit 隐藏进程与网络连接。

rationale: 技术映射遵循 ATT&CK 企业矩阵；只标技术不标归因。


text: 载荷将自身设置为隐藏文件并存放于不常见目录。

rationale: 技术映射遵循 ATT&CK 企业矩阵；只标技术不标归因。


text: 攻击者篡改恶意文件的时间戳以匹配同目录正常文件。

rationale: 技术映射遵循 ATT&CK 企业矩阵；只标技术不标归因。


text: 后门使用非标准端口承载加密 C2 流量以躲避端口策略。

rationale: 技术映射遵循 ATT&CK 企业矩阵；只标技术不标归因。


text: 外泄程序仅在每天凌晨固定时段分批传输数据以降低被发现概率。

rationale: 技术映射遵循 ATT&CK 企业矩阵；只标技术不标归因。


text: 攻击者将数据复制到接入的 U 盘以实现物理外带。

rationale: 技术映射遵循 ATT&CK 企业矩阵；只标技术不标归因。


text: 攻击者篡改数据库中存储的关键业务数据以制造错误。

rationale: 技术映射遵循 ATT&CK 企业矩阵；只标技术不标归因。


text: 攻击者转储 LSA Secrets 以获取服务账户口令。

rationale: 技术映射遵循 ATT&CK 企业矩阵；只标技术不标归因。


text: 攻击者诱导受害主机向受控 SMB 服务器发起认证以捕获凭据。

rationale: 技术映射遵循 ATT&CK 企业矩阵；只标技术不标归因。


text: 恶意程序定期读取剪贴板内容以窃取复制的口令与地址。

rationale: 技术映射遵循 ATT&CK 企业矩阵；只标技术不标归因。


text: 攻击者枚举云租户中启用的服务与资源以摸清攻击面。

rationale: 技术映射遵循 ATT&CK 企业矩阵；只标技术不标归因。


text: 攻击者在数据库中创建恶意存储过程作为持久化后门。

rationale: 技术映射遵循 ATT&CK 企业矩阵；只标技术不标归因。


text: 木马读取浏览器历史与书签以发现内网系统地址。

rationale: 技术映射遵循 ATT&CK 企业矩阵；只标技术不标归因。


text: 攻击者用 nmap 对目标网段做存活与端口扫描，识别开放的 SSH 与 RDP。

rationale: 主动扫描+网络服务发现。


text: 攻击者通过 DCSync 向域控请求复制账户口令哈希。

rationale: DCSync 提取域凭证。


text: 木马在配置文件与脚本中搜索硬编码数据库口令。

rationale: 文件中的凭证。


text: 样本安装键盘钩子记录用户输入的账号口令。

rationale: 键盘记录。


text: 攻击者用 fodhelper 绕过 UAC 以高完整性运行载荷。

rationale: 绕过 UAC 提权。


text: 载荷窃取并复用 explorer.exe 的访问令牌提升权限。

rationale: 访问令牌操纵。


text: 样本定时截屏并保存为图片外发。

rationale: 屏幕截图收集。


text: 恶意程序监控剪贴板窃取钱包地址。

rationale: 剪贴板收集。


text: 载荷把窃取数据伪装成正常请求发往公共代码托管服务作 C2。

rationale: 利用 Web 服务做 C2。


text: 攻击者退出前批量删除文件服务器数据进行破坏。

rationale: 数据销毁。


text: 攻击者篡改企业官网首页内容示威。

rationale: 内部站点篡改。


text: 攻击者经被入侵的运维供应商通道接入目标内网。

rationale: 利用信任关系。


text: 攻击者在常用开源依赖中植入恶意代码污染下游构建。

rationale: 供应链入侵。


text: 恶意软件注册为伪装更新的 Windows 服务实现持久化。

rationale: 创建服务持久化。


text: 载荷通过 DLL 侧加载把恶意 DLL 放进合法程序目录被加载。

rationale: DLL 侧加载。


text: 攻击者用窃取的 NTLM 哈希做 Pass-the-Hash 横向认证。

tactics: defense-evasion lateral-movement

rationale: 替代认证材料横向。


text: 攻击者修改组策略对象下发恶意计划任务到全域。

tactics: defense-evasion privilege-escalation execution persistence

rationale: 域策略修改+计划任务下发。


text: 木马收集浏览器保存的登录数据库文件。

rationale: 凭证文件+本地数据收集。


text: 攻击者用 certutil 解码并落地一个被 base64 编码的载荷。

rationale: 解码+载荷传输。


text: 勒索前攻击者用 rclone 将敏感数据批量上传到云存储外泄。

rationale: 外泄至云存储。


text: 攻击者清空历史并删除落地脚本以反取证。

rationale: 文件删除反取证。


text: 攻击者用 ssh 隧道把内网数据库端口转发到公网跳板。

tactics: command-and-control lateral-movement

rationale: 协议隧道+SSH。


text: 载荷检测沙箱命中则退出，并多层混淆其字符串。

rationale: 混淆规避分析。


text: 攻击者枚举域内所有计算机对象以规划横向路径。

rationale: 远程系统发现。


text: 木马通过注册表 Run 键与计划任务双重持久化。

rationale: 双重持久化。


text: 攻击者关闭 Defender 实时防护并清空安全日志。

rationale: 禁用防护+清日志。


text: 攻击者用合法远程管理软件 AnyDesk 维持交互控制。

rationale: 远程访问软件。