Новата версия на рамката включва кампании срещу над 30 водоснабдителни и канализационни дружества в Минесота, пробив в мексиканска държавна инфраструктура с използване на инструменти с ИИ и нови техники за атаки срещу индустриални системи. Актуализацията добавя и по-конкретни стратегии за откриване на злонамерена активност в ИТ и оперативните технологии.

Организацията с нестопанска цел MITRE публикува версия 20 на ATT&CK – базата знания, използвана от специалистите по киберсигурност за описание, класифициране и откриване на тактики и техники на нападателите. Актуализацията разширява обхвата на рамката при атаки срещу критична инфраструктура, операции за кибершпионаж и заплахи, подпомагани от изкуствен интелект (ИИ).

Сред най-значимите промени са две нови кампании, свързани с водоснабдителни системи в САЩ и пробив в мексиканска държавна инфраструктура, който обхваща както информационни технологии (ИТ), така и оперативни технологии (OT). MITRE добавя и нови записи за зловреден софтуер, техники за изпълнение на команди в индустриални среди и стратегии за откриване, съобразени с конкретните активи и платформи.

Водоснабдителни системи и индустриални контролери под прицел

Новата кампания C0066, посветена на атаките срещу водоснабдителни и канализационни дружества в Минесота през 2026 г., документира активност, която все още не е официално приписана на конкретен извършител. Според описанието атаките са достигнали до програмируеми логически контролери (PLC), изложени в интернет, в повече от 30 организации. В резултат операторите са загубили достъп до собствените си системи.

Този случай подчертава рисковете от директно достъпни индустриални устройства. PLC контролерите управляват физически процеси, а компрометирането им може да засегне не само поверителността на информацията, но и възможността за наблюдение и управление на технологични операции.

Втората кампания, C0064, описва пробив в мексиканска държавна инфраструктура, при който нападателите са преминавали между ИТ и OT среди и са достигнали до общинско водоснабдително дружество. Според MITRE операцията е включвала инструментариум, генериран с помощта на ИИ.

И двете кампании показват защо анализът на заплахите трябва да обхваща връзките между корпоративните мрежи и системите за управление на физически процеси. Дори когато първоначалният достъп е осъществен в ИТ среда, последващото придвижване към OT може да разшири въздействието до услуги от критично значение.

Нов зловреден софтуер за IoT и OT устройства

В ATT&CK v20 са добавени два нови записа за софтуер. Първият, S9046: IOControl, е зловреден софтуер, свързван с групата CyberAv3ngers. Той е насочен към устройства с Linux, включително IoT и OT оборудване, PLC контролери, човек-машина интерфейси (HMI) и системи за управление на горивата.

Това разширява възможностите на защитниците да свързват наблюдавана активност с конкретни инструменти и типове индустриални активи. За операторите на критична инфраструктура подобна информация е полезна при оценка на изложените устройства, анализ на инциденти и съпоставяне на техническите индикатори с известни модели на нападение.

Вторият запис, S9045: BACKUPOSINT v9.0 APEX PREDATOR, описва генериран с ИИ инструментариум на Python с 49 модула, използван при пробива в мексиканската инфраструктура. Този пример отразява промяната в начина, по който нападателите могат да изграждат и адаптират инструменти за разузнаване и работа в компрометирани среди.

Самото използване на ИИ обаче не е достатъчно, за да се определи сложността или ефективността на дадена атака. Защитниците трябва да оценяват конкретните възможности на инструментите, правата им за достъп и поведението им в мрежата.

По-прецизно описание на изпълнението на команди и командването

Във версия 20 MITRE добавя за индустриалните системи техниката T1701: Command and Scripting Interpreter, с шест под-техники за PowerShell, Windows Command Shell, Unix Shell, Visual Basic, Python и JavaScript. Тя заменя две по-стари техники, които вече са маркирани като остарели.

Тази промяна позволява на екипите по сигурността да описват по-точно как нападателят е изпълнявал команди или скриптове в индустриална среда, вместо да използват обща категория. Разликата е важна при разследвания, защото различните интерпретатори оставят различни следи и изискват различни методи за наблюдение.

Добавени са и две под-техники за командване и контрол през стандартни приложни протоколи: DNS и протоколи за публикуване и абониране (publish/subscribe). Те отразяват възможността нападателите да прикриват комуникациите си в протоколи, които вече се използват в индустриалните мрежи.

Тъй като подобен трафик може да бъде част от нормалната работа на средата, самото наличие на DNS или publish/subscribe комуникация не означава атака. Значение имат отклоненията от обичайното поведение, неочакваните крайни точки и контекстът на съответното устройство.

ИИ разширява обхвата на атаките в корпоративните среди

Промените не се ограничават до индустриалните системи. В корпоративната част на ATT&CK са добавени техники и под-техники за заплахи, свързани с ИИ, включително prompt injection, извличане на данни с помощта на ИИ, манипулиране на резултатите на ИИ системи и атаки срещу защитни механизми, подпомагани от тези технологии.

Рамката включва и допълнения за заобикаляне на CAPTCHA проверки, кражба на специфични за приложения пароли и атаки по веригата на доставки, засягащи инструменти за разработчици. Така организациите могат да отразяват в моделите си на заплахи не само традиционните компрометирания, но и злоупотреби с нови автоматизирани услуги и работни процеси.

Актуализацията обхваща и разузнавателни и престъпни групи. Добавена е NIMBUS MANTICORE, свързвана с Иран и Корпуса на стражите на ислямската революция, както и софтуер, приписван на групата. Профилите на Salt Typhoon и севернокорейската APT38 са актуализирани с допълнителни данни за експлоатация на периферни мрежови устройства и компрометиране на веригата за доставки на софтуер. Добавени са също рансъмуерът The Gentlemen и крадецът на информация Vidar.

Новите стратегии за откриване свързват поведението с конкретните активи

Важна част от ATT&CK v20 е усъвършенстването на стратегиите за откриване. MITRE добавя шест стратегии за корпоративни среди и девет за индустриални системи, подкрепени от общо 38 аналитични правила и подхода. От тях 22 са нови аналитични елемента за ICS.

Индустриалните стратегии вече посочват платформите, за които са приложими – Windows, Linux, мрежови устройства и вградени системи – както и типовете активи, които обхващат. Това помага на защитниците да преценят дали даден подход е подходящ за инженерна работна станция, PLC контролер или друг компонент.

Аналитичните подходи са съобразени и с особеностите на оперативната среда. Те целят да разграничават подозрителното изпълнение на команди от нормалната работа на доставчически софтуер, инженерни процеси и одобрени дейности по поддръжка. Така се намалява рискът обичайните технологични операции да генерират прекомерно количество сигнали.

MITRE актуализира и стратегии за мобилни устройства, като отчита разликите между възможностите за наблюдение в Android и iOS. Подходите разграничават информацията, която може да се събира постоянно, от данните, достъпни само чрез управление на устройства или при криминалистичен анализ.

Какво означава актуализацията за защитниците?

ATT&CK не е продукт за защита и не блокира автоматично атаки. Това е структурирана база знания, която помага на организациите да свържат реални наблюдения с известни модели на поведение, да оценят покритието на защитните си механизми и да открият пропуски в мониторинга.

За операторите на критична инфраструктура актуализацията дава основание да прегледат изложените в интернет PLC и други индустриални устройства, да проверят дали наблюдението обхваща изпълнението на команди и комуникациите за командване и контрол и да оценят връзките между ИТ и OT средите. Организациите, които използват ИИ инструменти, трябва да включат и техните права за достъп, възможностите за извличане на информация и риска от злоупотреба с автоматизираните функции.

Практическата стойност на версия 20 ще зависи от това доколко екипите ще адаптират новите техники и стратегии към собствените си активи, телеметрия и процедури за реакция. По-подробната класификация помага само когато е свързана с реално наблюдение и проверими действия за защита.