Day 18 ATT&CK for ICS - Privilege Escalation

Privilege Escalation

攻击者尝试在工控环境内取得更高的权限。

攻击者进入工控环境後可能只有一般权限，需要更高的权限才能达到目的，因此会可能透过系统漏洞、工程师设定错误或设备的漏洞，达到提升权限的目的。

T0890 Exploitation for Privilege Escalation

攻击者可能透过 HMI 或是安全仪器系统与防护继电器的软件漏洞来提升权限，甚至研究 ZeroDay 零时差漏洞进行攻击，攻击者会针对工控场域内设备中的作业系统、服务、程序码、作业系统核心漏洞进行攻击。

T0874 Hooking

如同 Execution 中，ATT&CK for ICS 也会有不同 Tactics(目标) 但手法相同的 Techniques，透过 Windows 的漏洞来提升权限。以 Windows API 的形式，透过 Hook 的手法，如修改程序执行流程、修改 IAT 表 (Import address table) 的值，以及重新导向程序的流程去执行攻击者希望执行的指令。