🔥 25 апреля вышло плановое мажорное обновление матрицы MITRE ATT&CK v13 (v12.1 - v13.0).
Сама матрица обновляется два раза в год – в апреле и в октябре.

В новой версии обновлены техники, группы, компании, а также перечень программного обеспечения, используемого злоумышленниками для матриц Enterprise, Mobile, and ICS.
Однако самое большое изменение – для ряда техник были добавлены подробные руководства по их обнаружению. Для этого в описание добавлены «easy button» - текстовые вставки для их удобного копирования и использования аналитиками SOC. В планах MITRE – постепенно обновлять меры по смягчению последствий (Mitigations) и включать в них аналитику из CAR.

Кратко по другим изменениям:
1️⃣Для матрицы Enterprise добавлено тринадцать новых техник
2️⃣Матрица ICS дополнена двумя новыми техниками
3️⃣Количество минорных изменений техник для Enterprise – 136, для Mobile – 82, для ISC - 16

Из интересных техник добавлены следующие:
🔹 [T1552.008] Unsecured Credentials: Chat Messages – использование журналов сервисов коммуникации, таких как Teams, Slack, инструментов совместной работы для получения доступа к часто передаваемым там паролям к ресурсам
🔹 [T1027.011] Obfuscated Files or Information: Fileless Storage – использование бесфайловых хранилищ данных для сокрытия вредоносной активности (реестр, WMI и другие)
🔹 [T1583.008] Acquire Infrastructure: Malvertising – приобретение вредоносной рекламы для распространения вредоносного ПО
🔹 [T1562.011] Impair Defenses: Spoof Security Alerting – подделка оповещений от средств защиты информации, эмулируя «здоровое поведение» СЗИ, хотя оно может быть отключено
Подробнее обо всех изменениях можно почитать здесь.
#MITRE

🤪 Boooooo! ATT&CK подготовил к Хеллоуину мажорное обновление матрицы MITRE ATT&CK v14

В новой версии обновлены техники, группы, компании, а также перечень программного обеспечения, используемого злоумышленниками для матриц Enterprise, Mobile, and ICS

Что нового:
1️⃣ Начиная с v13 в матрице появились руководства по обнаружению - псевдокод из CAR («easy button» - текстовые вставки для их удобного копирования и использования аналитиками SOC). В v14 значительно расширили количество техник с методами обнаружения. Особое внимание MITRE ATT&CK уделили тактике бокового перемещения (Lateral Movement), добавлено более 75 аналитических правил BZAR (BZAR является компонентом репозитория CAR), планируется дальнешее расширение покрытия
2️⃣ Поскольку хакеры постоянно совершенствуют методы использования человеческих уязвимостей, были добавлены новые мошеннические методы и методы социальной инженерии, которые слабо связаны именно с техникой:
🔹Финансовое воровство: T1657: Financial Theft
🔹 Выдача себя за другое лицо: T1656: Impersonation
🔹 Целенаправленный вишинг: T1598.004: Phishing for Information: Spearphishing Voice
3️⃣ Усовершенствована панель навигации веб-сайта ATT&CK – теперь это единое динамическое меню с доступом к второстепенным ссылкам (большинство из которых ранее размещалось на основной панели)

И это далеко не все нововведения. В матрице:
📣 Для Enterprise добавлено 18 новых техник, минорных и мажорных изменений более 130
📣 Для Mobile добавлено 7 новых техник, изменено 25
📣 Для матрицы ICS новых техник не досталось, внесены изменения в 81 текущую
📣 Значительно обновлены разделы Software, Groups, Campaigns и Assets для всех матриц, а вот MITIGATIONS (меры смягчения) практически не получили обновлений

Из интересных техник добавлены следующие:
🗣️ [T1659] Content Injection – новая техника для тактик Initial Access, Command and Control: внедрение вредоносного контента в сетевой трафик,получение доступа к жертвам через скомпрометированные каналы передачи данных, где они могут манипулировать трафиком и/или внедрять свой собственный контент
🗣️ [T1654] Log Enumeration – поиск полезных для хакера данных в журнала аудита
🗣️ [T1027.012] Obfuscated Files or Information: LNK Icon Smuggling– использование файлов ярлыков Windows (.LNK) для вредоносных действий - загрузки payload
🗣️ [T1016.002] System Network Configuration Discovery: Wi-Fi Discovery – сбор информации о сетях и паролях доступа к WiFi в системных файлах хостов
🗣️ [T1653] Power Settings – изменение параметров электропитания, режима блокировки экрана чтобы машина не уходила в сон или перегружалась для сохранения доступа

Подробнее обо всех изменениях можно почитать здесь.
#mitre

🔄 ATT&CK подготовил к майским праздникам мажорное обновление матрицы MITRE ATT&CK v15

23 апреля вышло плановое мажорное обновление матрицы MITRE ATT&CK v15 (v14.1 - v15.0). Это уже третье мажорное обновление проекта с апреля 2023 (v 13 – апрель, v14 - октябрь). Пару дней до этого также был обновлен ATT&CK Roadmap на 2024 год

В новой версии авторы проекта сделали упор на:
✔️ Изменение и расширение руководств по обнаружению атак, большое изменение коснулось тактического шага Execuition. Если ранее MITRE использовала псевдокод из CAR («easy button» - текстовые вставки), которые многим были не понятны, в v15 использован стиль реального языка запросов (например, Splunk). Вот пример изменений
✔️ Расширение набора защитных мер и аналитической информации для CI/CD, инфраструктуры как кода (IaC) и идентификации. Добавлены новые mitigation и источники данных по защите токенов
✔️ Защиту облаков: в соответствии с ATT&CK 2024 Roadmap усилия авторов проекта направлены на поступательное улучшение Cloud Matrix

Что интересного:
🔹 Поскольку злоумышленники все чаще используют инструменты искусственного интеллекта (LLM) для своих задач: разработка полезной нагрузки, генерация фишинговых писем, исследование уязвимостей, автоматизация отдельных технических задач и другие задачи была добавлена техника: T1588.007: Obtain Capabilities: Artificial Intelligence
🔹 Добавлена техника атак на периферийные и сетевые устройства с выходом в сеть Интернет, компрометация которых направлена не на получение первоначального доступа, а для дальнейшего таргетинга
🔹 Обновлен раздел Campaigns, описаны новые атаки на промышленные объекты: Triton, Unitronics и другие.

Сухая статистика:
▪️В Enterprise добавлено 12 новых техник, внесены изменения в 150
▪️В Mobile добавлено 5 новых техник, изменены 3
▪️И в ICS новые 2 техники и изменены 3

Полный лог изменений в том числе по группировкам, ПО, методам смягчения доступен в ATT&CK SYNC, release notes и официальной странице проекта не medium. Приятного чтива на майские!
#mitre

👍 Trick or treat? ATT&CK подготовил к Хэллоуину мажорное обновление матрицы MITRE ATT&CK v16

31 октября вышло очередное мажорное обновление матрицы MITRE ATT&CK v16 (v15.1 - v16.0), ключевая концепция обновления – «баланс». Разработчики стремятся сделать ресурс сбалансированным для всех его пользователей (разработчкиов, методологов, специалистов SOC и др.), поэтому старались обновить и техники, и предложения по их обнаружению, и группировки, и компании, и другие матрицы кроме Enterprise не забыть.

Исследователи MITRE в целом следуют целям, намеченным в ATT&CK 2024 Roadmap, так:
1️⃣ С целью расширения возможности обнаружения техник в раздел тактики «Execution» было добавлено 85 новых руководств по обнаружению выполнения вредоносного кода (MITRE называет их «Analytic» в разделе Detection описания техник), 120 было добавлено в тактику «Credential Access», и 26 в Cloud matrix для выявления техник на платформах Microsoft 365 и Azure AD
2️⃣ Большие изменения претерпела матрица Cloud – в результате рефакторинга платформы Azure AD, Office 365 и Google Workspace были удалены, вместо них были добавлены платформы Identity Provider и Office Suite.
3️⃣ Для устранения пробелов для платформ Linux и macOS (для которых изменений гораздо меньше чем для Windows, например) были добавлены новые техники T1546.017: Event Triggered Execution: Udev Rules, T1558.005: Steal or Forge Kerberos Tickets: Ccache Files

Сухая статистика:
📣 В Enterprise добавлено 19 новых техник, внесены изменения в более 100 техник
📣 В раздел Software добавлено описание 33 новых инструментов, используемых злоумышленниками
📣 Скудный раздел Mitigations добавлен целый один метод митигации - Out-of-Band Communications Channel (в целом для выбора мер митигации есть куча других проектов, та же MITRE D3FEND)
📣 Раздел Groups пополнился 11 новыми группировками, также был обновлен раздел Сampaigns: +6 новых кампаний было описано

Вообще изменений довольно много, совсем скоро их в удобном формате можно будет глянуть в ATT&CK Sync, а пока полный лог доступен в Release Notes и официальной странице проекта не medium. Приятного чтива на выходные!
#mitre

🔝 Picus Red Report 2025 и The Top 10 Most Prevalent MITRE ATT&CK® Techniques

Picus Red Report 2025 – уже ставший традиционным ежегодный отчёт компании Picus Security, содержащий подробный анализ наиболее распространенных тактик, методов и процедур (TTP) противников, наблюдавшихся в течение предыдущего года.
Данные в отчете базируются на изучении более 1 миллиона образцов вредоносного ПО и 11 миллионов случаев применения методов MITRE ATT&CK. Согласно исследователям, 93 % атак в 2024 году были совершены с использованием следующих техник:

🗣️ T1055 Process Injection
🗣️ T1059 Command and Scripting Interpreter
🗣️ T1555 Credentials from Password Stores
🗣️ T1071 Application Layer Protocol
🗣️ T1562 Impair Defenses
🗣️ T1486 Data Encrypted for Impact
🗣️ T1082 System Information Discovery
🗣️ T1056 Input Capture
🗣️ T1547 Boot or Logon Autostart Execution
🗣️ T1005 Data from Local System

7 из 10 техник присутствуют в рейтинге прошлого года, следующие были заменены:
🔹 T1003 OS Credential Dumping
🔹 T1047 Windows Management Instrumentation
🔹 T1027 Obfuscated Files or Information

Три добавленных T1555, T1056 и T1005 (выделил жирным) характерны больше для программ-стилеров, крадущих пароли, аккаунты и пр. полезные разности, которые плохо лежат. И понятно почему: большая часть отчета посвящена эволюции современных вредоносных программам для кражи информации. Отмечена тенденция кражи учетных данных из менеджеров паролей, браузеров, кэша системы и пр.

Еще несколько инсайтов:
📎 «Шепчущие каналы» - эксфильтрация данных по шифрованным каналам становится «стандартом»
📎 Выполнение автозапуска при загрузке или входе в систему все чаще становится одним из основных методов, с помощью которых вредоносные программы переживают перезагрузки системы и попытки удаления
📎 Заметного роста использования методов вредоносного ПО, основанных на ИИ, не отмечено

Ну а ТОП-3 по версии исследователей следующий:
1️⃣ T1055 Process Injection
2️⃣ T1059 Command and Scripting Interpreter
3️⃣ T1555 Credentials from Password Stores
где первые две техники являются частью цепочки доставки полезной нагрузки в инфраструктуру жертвы и не выходят из чартов последние пару лет

Для борьбы с киберугрозами эксперты помимо «быстрее выше сильнее» советуют выбивать бюджеты на поведенческую аналитику и адаптивный поиск угроз, реактивное обнаружение и SecretNet
#mitre #analytics

🆕Выпущена новая версия MITRE ATT&CK (v.17)🆕

Очередной релиз содержит множество изменений и дополнений, среди которых и описание новых групп злоумышленников, их кампаний, используемого ПО и, конечно же, новые техники и меры защиты.
Советую ознакомиться с удобочитаемым описанием изменений, где можно вплоть до запятой рассмотреть новшества📕

Для себя отметил следующие интересные изменения:
➡️Добавлена матриц тактик и техник для платформы ESXi, в которую включили 30 адаптированных уже имеющихся в каталоге техник и 4 новых специфичных техники (T1675, T1059.12, T1505.006, T1673).
➡️Добавлены техники, связанные с методами социальной инженерии – T1667: Email Bombing и T1204: Malicious Copy and Paste. Техники сами по себе давно известные, но авторы посчитали, что только сейчас пришло время их добавить, т.к. они "стали популярны в последнее время" у злоумышленников.
➡️Добавили интересную технику T1668: Exclusive Control, которая описывает действия злоумышленников по недопущению "коллег по цеху" на скомпрометированную ими систему😁 Чтобы не делиться с конкурентами захваченной инфраструктурой злоумышленник может "любезно" пропатчить ваш уязвимый хост, благодаря которому он проник в вашу сеть, или отключить ненужные службы и отобрать привилегированный доступ у скомпрометированный учетной записи😊
➡️T1219.003: Remote Access Tools: Remote Access Hardware – техника использования легитимного оборудования для удаленного доступа, эдакий интерактивный бэкдор для обхода программной защиты. Злоумышленники могут использовать KVM-устройства (например, TinyPilot, PiKVM) для получения удаленного доступа к системе.
➡️Среди кампаний стоит отметить добавление операции «Триангуляция», обнаруженную специалистами Лаборатории Касперского.
➡️В целом, обновлений действительно много – только техник было добавлено более 25 штук. Стоит также отметить, что авторы также оптимизировали описание мер защиты и увеличили число практических примеров их использования👏

#mitre #attack #technique #ttp #apt