ATT&CK框架实战应用手册 - 第3节
一、移动版矩阵概览：为什么我们需要关注手机端？
说实话，很多人觉得移动安全没那么重要。手机嘛，丢了就丢了。但我在做企业安全评估时，发现一个残酷的事实——移动设备已经成为攻击者的首选入口。你想想看，现在谁还在用电脑收发邮件？大部分业务操作都在手机上完成。
ATT&CK for Mobile 就是专门针对这个场景设计的。它覆盖了 Android 和 iOS 两大平台，把攻击者的行为拆解成一个个战术和技术。我个人习惯把移动版矩阵看作「缩小版的企业版」，但千万别小看它——移动端的攻击面其实更复杂。
核心观点：移动版矩阵不是企业版的简单复制，而是针对移动 OS 特性（应用沙箱、权限模型、移动网络）的专门设计。
二、针对移动 OS 的战术与技术
2.1 Android 与 iOS：殊途同归
Android 和 iOS 虽然底层架构不同，但攻击者的目标是一样的——获取敏感数据、持久化驻留、横向移动。我在一次红队演练中遇到过这样的情况：攻击者通过一个恶意 App 获取了通讯录，然后利用短信钓鱼继续渗透。嗯，这就是典型的移动端攻击链。
移动版矩阵把战术分成了 14 个大类，我挑几个重点说说：
- 初始访问（Initial Access）：恶意 App、钓鱼链接、二维码扫描。我记得有个案例，攻击者把恶意链接藏在共享单车二维码里。
- 持久化（Persistence）：利用系统漏洞、自动启动机制。Android 的 Broadcast Receiver 就是典型。
- 防御规避（Defense Evasion）：隐藏图标、伪装系统进程。iOS 的越狱检测绕过，我踩过不少坑。
- 凭据访问（Credential Access）：键盘记录、屏幕截图、剪贴板窃取。
我的建议：刚开始学移动版矩阵时，别急着背技术列表。先理解每个战术在手机上的「物理意义」——比如「持久化」在手机上就是「App 怎么保证自己不被杀掉」。
2.2 移动 OS 特有的技术
有些技术是企业版没有的，比如：
| 技术名称 | Android 示例 | iOS 示例 |
|---|---|---|
| 应用内钓鱼 | WebView 伪造登录页 | UI 欺骗（假弹窗） |
| SIM 卡交换 | 社会工程获取 SIM 卡 | 同左 |
| 基带攻击 | 利用调制解调器漏洞 | 越狱后基带提权 |
| 侧载应用 | APK 旁加载 | 企业签名分发 |
为什么会这样？因为手机有太多「人机交互」的环节。你想想看，电脑上你很少会对着摄像头做动作，但手机上人脸识别、指纹支付都是日常操作。攻击者当然会盯上这些。
三、移动威胁场景分析
3.1 真实世界中的移动攻击
我参与过几个移动安全事件响应，总结下来，常见的威胁场景就三类：
- 恶意 App 分发：通过第三方应用商店、短信链接、社交工程。我曾经见过一个伪装成「健康码」的 App，实际上在后台偷通讯录。
- 设备丢失/被盗：物理访问是最直接的威胁。没有锁屏密码？那基本等于裸奔。
- 网络钓鱼：移动端的钓鱼成功率比 PC 高 3 倍以上。为什么？因为手机屏幕小，用户更容易忽略 URL 细节。
避坑指南：我曾经以为 iOS 比 Android 安全很多，直到一次项目中遇到一个「企业签名」的恶意 App。iOS 的侧载机制其实给了攻击者很大的操作空间。别迷信平台安全性。
3.2 企业移动场景的特殊性
在企业环境中，移动威胁还有几个「中国特色」：
- 工作/企业：这些超级 App 本身成了攻击目标。我记得有个案例，攻击者通过企业的 WebView 漏洞窃取了内部文档。
- MDM（移动设备管理）绕过：员工 root/越狱手机后，MDM 策略形同虚设。
- BYOD（自带设备）：个人手机和工作数据混在一起，边界模糊。
四、与 Enterprise 版的异同
4.1 相同点：框架结构一致
移动版和企业版都遵循同样的 ATT&CK 设计哲学——战术-技术-子技术三层结构。说白了，就是「攻击者想干什么（战术）」和「怎么干（技术）」。
比如「凭据访问」这个战术，企业版里有「键盘记录」，移动版里也有。只是实现方式不同——PC 上可能是 hook 键盘驱动，手机上可能是 Accessibility Service 监听。
4.2 不同点：移动 OS 的独特挑战
这里我列个对比表，一目了然：
| 维度 | Enterprise 版 | Mobile 版 |
|---|---|---|
| 攻击面 | 网络、终端、云 | 应用、传感器、移动网络 |
| 持久化方式 | 服务、注册表、计划任务 | 自动启动广播、后台服务 |
| 数据窃取 | 文件共享、数据库 | 剪贴板、相册、通讯录 |
| 防御机制 | 杀毒软件、EDR | 应用沙箱、权限模型 |
| 网络通信 | HTTP/SMB/DNS | 蜂窝网络、Wi-Fi、蓝牙 |
你可能会问：为什么移动版没有「横向移动」这个战术？其实不是没有，而是表现形式不同。移动端的横向移动更多是通过社交工程——比如窃取通讯录后发送钓鱼短信，或者利用 iMessage 传播恶意链接。
关键差异：移动版矩阵更强调「人」的因素。手机是高度个人化的设备，攻击者利用的是用户的信任和习惯，而不是纯技术漏洞。
4.3 我的实战建议
如果你已经熟悉企业版矩阵，切换到移动版时要注意几点：
- 别套用 PC 思维：移动端的「进程注入」和 PC 上的完全不是一回事。
- 关注应用层：移动端 80% 的攻击都发生在应用层，而不是系统层。
- 重视物理安全：手机丢失/被盗的威胁等级，在企业版里被严重低估了。
我记得有一次做移动安全培训，一个学员问我：「老师，移动版矩阵是不是就是企业版的子集？」我当时的回答是：「恰恰相反，移动版矩阵是超集——它包含了企业版没有的传感器攻击、移动网络攻击、SIM 卡攻击等独特内容。」
嗯，这一章就到这里。下一章我们会深入具体的战术和技术细节，到时候我会拿几个真实案例来拆解。记住，移动安全不是「小菜一碟」，它可能是你整个安全体系里最薄弱的一环。