暂存能力指攻击者将恶意工具、漏洞利用包等资源预先部署到受控或第三方基础设施的过程，为后续攻击阶段提供战术支撑。传统防御主要关注恶意域名黑名单、文件哈希检测及网络流量特征识别，通过监控云存储异常访问、分析SSL证书指纹等方式进行防护。但由于攻击基础设施常位于防御方可视范围之外，检测难度较高。
为规避传统检测机制，攻击者发展出多维度的暂存匿迹技术，通过云环境信任链劫持、协议深度伪装、动态基础设施切换等手法，将恶意资源深度嵌入合法网络服务生态，构建出"去中心化、高弹性"的新型暂存体系。
当前暂存能力匿迹技术的核心逻辑体现为"环境寄生"与"形态进化"的有机融合。攻击者充分利用互联网基础设施的开放性特征，将恶意资源存储与分发过程融入正常业务场景：云服务伪装存储利用商业云平台的规模效应稀释异常行为特征；动态域名生成通过算法驱动的基础设施变更打破静态防御模型；开源平台代码混淆则深度利用软件开发供应链的自动化特性完成恶意代码传播。三类技术的共性在于突破传统"恶意-合法"二元对立范式，通过技术栈寄生、协议合规化改造、资源动态化管理等策略，使攻击基础设施获得合法数字服务的外在表征，大幅提升防御方进行威胁归因与基础设施封堵的难度。
匿迹技术的演进迫使防御体系从单一IOC检测转向多维度行为分析，需构建涵盖云服务审计、代码供应链监控、动态域名行为建模等能力的综合防御架构，同时加强跨平台威胁情报共享，实现对隐蔽暂存行为的早期发现与协同处置。
| 效应类型 | 是否存在 |
|---|---|
| 特征伪装 | ✅ |
| 行为透明 | ❌ |
| 数据遮蔽 | ✅ |
| 时空释痕 | ✅ |
攻击者通过深度伪装资源存储形态实现特征隐匿，例如将恶意文件伪装为云平台常规文档、将攻击工具嵌入合法容器镜像。利用数字签名、版本号伪装等手段使恶意资源具备合法数字资产的表面特征，规避基于文件哈希或元数据的检测。
通过混淆上传文件的特征，将恶意代码嵌入到看似无害的文档或脚本文件中，攻击者能够将恶意活动与合法的文件上传行为混淆，使得防御系统难以通过文件特征匹配识别出恶意文件。通过开源平台代码混淆技术，攻击者使恶意代码伪造为合法项目，实现绕过基于代码特征匹配的检测系统。
通过动态域名生成、云账户轮换等机制实现基础设施的时空维度分散。攻击资源在不同地理区域、网络服务商之间动态迁移，单个节点的有效生命周期被压缩至小时级，传统基于长周期行为分析的检测手段难以建立有效威胁画像。
| ID | Name | Description |
|---|---|---|
| G0129 | Mustang Panda |
Mustang Panda has used servers under their control to validate tracking pixels sent to phishing victims.[1] |
| ID | Mitigation | Description |
|---|---|---|
| M1056 | Pre-compromise |
This technique cannot be easily mitigated with preventive controls since it is based on behaviors performed outside of the scope of enterprise defenses and controls. |
| ID | Data Source | Data Component | Detects |
|---|---|---|---|
| DS0035 | Internet Scan | Response Content |
If infrastructure or patterns in malware, tooling, certificates, or malicious web content have been previously identified, internet scanning may uncover when an adversary has staged their capabilities.Much of this activity will take place outside the visibility of the target organization, making detection of this behavior difficult. Detection efforts may be focused on related stages of the adversary lifecycle, such as initial access and post-compromise behaviors. |