Day 20 ATT&CK for ICS - Evasion(2)

T0858 Change Operating Mode

如同Day15 ATT&CK for ICS - Execution(2)提到，攻击者会修改 OT 设备(如控制器)的操作状态，为了要取得权限，PLC 有很多操作模式，可控制使用者的状态和控制器的 API 访问，与物理模式的选择，攻击者可能透过各种手段试图修改 PLC 的操作状态。

T0820 Exploitation for Evasion

利用工控设备中中的系统、软件、服务、作业系统之间安全设定中的弱点/漏洞来逃避检测，攻击者透过远端系统资讯发现工控设备中可能具有安全功能，并透过这些功能加以利用。也透过上传货更新韧体功能，安装恶意的韧体，并透过安全功能禁止使用「韧体 RAM/ROM 的检查」已让恶意韧体可顺利安装。

T0851 Rootkit

攻击者部属 Rookit 隐藏於执行行程、执行档、文件、连线、服务、驱动程序和其他系统的元件，Rootkit 透过拦截、修改系统资讯的作业系统 API 来隐藏恶意程序/软件。

rootkit 通常会伪装於 dll 中，为了不被发现，会窜改 dll 内部的程序码，可以把 rootkit 视为後门或是木马。