👍 От чего защищаться в 2024 году?

Начинаем подводить итоги 2023 года с анализа целевых атак и прогнозов, на чём сосредоточатся APT в будущем году. Все предсказания (а заодно анализ, как сбылись прошлогодние) собраны в этом посте, а здесь приведём самые интересные тезисы:

1️⃣ Ждите новых ботнетов. И шпионские, и киберкриминальные группировки находят новые способы использовать заражённые устройства, как корпоративные, так и домашние — от традиционных серверов и десктопов до устройств интернета вещей. В целевых атаках они эффективны для того, чтобы скрыть сам целевой характер атаки, а также удобны как С2 и прокси.

2️⃣ Грядут атаки на управляемую передачу файлов. Атаки на MOVEit и GoAnyWhere показали, насколько эффективен этот вектор для доступа к чувствительной информации, и насколько мало изучены уязвимости в соответствующих продуктах. Самое время заняться харденингом, а то и миграцией.

3️⃣ Услуги по атаке на цепочку поставок. Если у компании зрелая ИБ, проникнуть в неё возможно проще через одного из поставщиков или подрядчиков. Насколько это эффективно, показывает свежий пример — взломы Okta. Поставщикам ПО, популярного в крупных организациях, тоже стоит приготовиться к новым атакам.

4️⃣ Ядро снова в моде. После нескольких лет спада сложные кибератаки вновь используют импланты уровня ядра ОС для повышения скрытности и отключения средств защиты. Для этого преступники злоупотребляют программой Microsoft WHCP, успешно подписывая ВПО, покупают сертификаты подписи кода, а также активно применяют BYOVD (принеси свой уязвимый драйвер).

Другие прогнозы, в том числе о злонамеренном использовании AI/ML, динамике хакинга по найму, эксплойтах для мобильных и носимых устройств и роли геополитических конфликтов читайте на Securelist.

#APT #прогноз @П2Т

🆕Выпущена новая версия MITRE ATT&CK (v.17)🆕

Очередной релиз содержит множество изменений и дополнений, среди которых и описание новых групп злоумышленников, их кампаний, используемого ПО и, конечно же, новые техники и меры защиты.
Советую ознакомиться с удобочитаемым описанием изменений, где можно вплоть до запятой рассмотреть новшества📕

Для себя отметил следующие интересные изменения:
➡️Добавлена матриц тактик и техник для платформы ESXi, в которую включили 30 адаптированных уже имеющихся в каталоге техник и 4 новых специфичных техники (T1675, T1059.12, T1505.006, T1673).
➡️Добавлены техники, связанные с методами социальной инженерии – T1667: Email Bombing и T1204: Malicious Copy and Paste. Техники сами по себе давно известные, но авторы посчитали, что только сейчас пришло время их добавить, т.к. они "стали популярны в последнее время" у злоумышленников.
➡️Добавили интересную технику T1668: Exclusive Control, которая описывает действия злоумышленников по недопущению "коллег по цеху" на скомпрометированную ими систему😁 Чтобы не делиться с конкурентами захваченной инфраструктурой злоумышленник может "любезно" пропатчить ваш уязвимый хост, благодаря которому он проник в вашу сеть, или отключить ненужные службы и отобрать привилегированный доступ у скомпрометированный учетной записи😊
➡️T1219.003: Remote Access Tools: Remote Access Hardware – техника использования легитимного оборудования для удаленного доступа, эдакий интерактивный бэкдор для обхода программной защиты. Злоумышленники могут использовать KVM-устройства (например, TinyPilot, PiKVM) для получения удаленного доступа к системе.
➡️Среди кампаний стоит отметить добавление операции «Триангуляция», обнаруженную специалистами Лаборатории Касперского.
➡️В целом, обновлений действительно много – только техник было добавлено более 25 штук. Стоит также отметить, что авторы также оптимизировали описание мер защиты и увеличили число практических примеров их использования👏

#mitre #attack #technique #ttp #apt