attack hack type 1 что это значит

Attack hack type 1 что это значит

В этой теме вы можете пожаловаться на админов.
Пример подачи.

1. Ваш игровой ник.
2. Ник администратора
4. Доказательства (демо, скрины).
5. Опишите ситуацию, как и что произошло.

— СРОК РАССМОТРЕНИЕ ЗАЯВКИ ДО 7 ДНЕЙ.
— ЖАЛОБЫ ТОЛЬКО ПО ШАБЛОНУ.

4

5 Он каким-то образом посмотрел корапченную демку, и сказал что я чист (я не чист). Админы явно хорошо работают

4

5 Он каким-то образом посмотрел корапченную демку, и сказал что я чист (я не чист). Админы явно хорошо работают

Здраствуйте, я увидел что демка сломана, подумал, словлю на горячем, ведь до скидывания демки вы играли не так сильно с читами. Я написал чист и сразу зашёл на сервер, что бы спалить вас с читами и уже забанить за чит. Написал я что чист что бы вы зашли и подумали что я дурачок и начали сильно палиться с читами. Я хотел удостовериться, поэтому написал чист. И да, хватит вам обходить баны, на сервере на данный момент вас банят, вас кикают, вас убивают грабом, но вам всё равно и вы читерите, так вот, может хватит уже обходить? Вам приятно когда другие игроки «страдают» от вашего читерства, и вовсе выходят и идут на другой сервер. Что наш сервер вам сделал? Прошу вас, выйдите и не читерите больше. Я всё сказал, дальше дело за вами.

Источник

Unreal Demo Scanner

Сообщений: 648
Благодарностей: 231
Полезность: 241

У некоторых игроков показывает DUCKHUACK, хотя остальных детектов нет, либо 1-3 ложных на аим.

При чем DUCKHUACK по какому принципу ловит?
Когда просто игрок крутит колесо или юзает скрипт или через чит?

Спасибо за демки я поисправлял детекты на duckhack/strafe optimizer ложные и еще пофиксил когда переводят игрока в спектры у меня считало что он еще жив 🙂
Обнову загружу через час где-то после тестов.

Обновление 38
* Исправление ошибок
* Исправлены ложные срабатывания на DUCKHACK/STRAFEOPTIMIZER/ETC

Стаж: 1 год 5 месяцев

Сообщений: 1
Благодарностей: 1
Полезность: 0

karaulov,
Записал свое демо(тренировка с ботами)
затем пропустил демо через прогу
Вот что получилось:
WARN [AIM TYPE 7.2 MATCH1:5% MATCH2:5% MATCH3:40%](. ) on (1734,494):00h:28m:54s:494ms (. )
WARN [AIM TYPE 7.14 MATCH1:5% MATCH2:5% MATCH3:30%](. ) on (1750,158):00h:29m:10s:158ms (. )
WARN [AIM TYPE 7.4 MATCH1:5% MATCH2:5% MATCH3:40%](. ) on (2114,619):00h:35m:14s:619ms (. )
WARN [AIM TYPE 7.14 MATCH1:5% MATCH2:5% MATCH3:30%](. ) on (2198,255):00h:36m:38s:255ms (. )
Detected [AIM TYPE 7.14 MATCH1:30% MATCH2:100% MATCH3:30%] on (2376,212):00h:39m:36s:212ms (. )
Detected [AIM TYPE 7.14 MATCH1:10% MATCH2:100% MATCH3:30%] on (2376,723):00h:39m:36s:723ms (. )
Detected [AIM TYPE 7.14 MATCH1:100% MATCH2:-10% MATCH3:30%] on (2377,171):00h:39m:37s:171ms (. )
Detected [AIM TYPE 7.14 MATCH1:100% MATCH2:-10% MATCH3:30%] on (2377,375):00h:39m:37s:375ms (. )
WARN [AIM TYPE 7.14 MATCH1:5% MATCH2:5% MATCH3:30%](. ) on (2397,505):00h:39m:57s:505ms (. )
WARN [AIM TYPE 7.14 MATCH1:5% MATCH2:5% MATCH3:30%](. ) on (2398,155):00h:39m:58s:155ms (. )
WARN [AIM TYPE 7.14 MATCH1:5% MATCH2:5% MATCH3:30%](. ) on (2399,224):00h:39m:59s:224ms (. )
WARN [AIM TYPE 7.14 MATCH1:5% MATCH2:5% MATCH3:40%](. ) on (2399,968):00h:39m:59s:968ms (. )
Detected [AIM TYPE 7.13 MATCH1:100% MATCH2:0% MATCH3:30%] on (2412,992):00h:40m:12s:992ms (. )

Мышь Ozon Neon, dpi 6400, в игре сенса 0.2, виндовс сенса 2, Могу тебе демо скинуть сам посмотришь

Сообщений: 648
Благодарностей: 231
Полезность: 241

Исправил добавленное в прошлой версии ложное срабатывание на AIM TYPE 6

Источник

демо чекеры, программы для выявление читов, запрещённого софта, алиасов, скриптов

Tes1a

На главной странице сайта mircs.ru В разделе «Демочекер» идёт отсыл на старую версию. Возможно на момент создания сайта она и была актуальной, да и называется она правильно View Demo Helper (c) Radius,
Так как эта тема мне знакома и интересна, я практически первым становлюсь обладателем новых версий, включая тэстовые бэтки. И с удовольствием готов поделиться с участниками форума, адмэнами проекта миркс, крайними релизами, программами и инструкциями по работе с ними, для того что бы выявлять и усложнять читерюшкам жизнь на просторах CS

Mr. Famas

Tes1a

Пасхалка юзающим View Demo Helper

Tes1a

не знаю, правильно ли создавать новый месседж, о выходе новых версий чекеров, или же лучше править уже созданный. Админы, если что подскажите как лучше.

Unreal Demo Scanner Обновление v1.53b13
* Отключение desync обнаружение для двигающихся игроков

краткий комментарий по работе с унреалом:

В последних версиях исправлено ложное срабатывание, во время смерти игрока (применимо к режиму «воскрешение»)
(Теперь будет писать [WARN] [AIM TYPE 8.2] at (279,0134):00h:04m:39s:022ms (DEAD)

Демосканер не ловит на 100% читы.
Демоксанер не ловит ВалХак вообще, Игрок может использовать спокойно ВХ(ESP,боксы,стрелки,радар) Подобный софт выявляется визуально, по манере игры и применением esp в демо хелпере
Игрок может использовать тонко настроенные(LEGID) приватные читы, которые не палятся Демосканером. Паблик (бесплатные) читы ловит с вероятностью 95%. Приватные читы в RAGE режиме 95%
Есть ложные варны/обнаружения, прежде чем банить ещё раз проанализируйте демку визуально в демоплеере кс 1.6.
При анализе результатов в Unreal Demo Scanner и View Demo Helper ОБЯЗАТЕЛЬНО учитывайте используемые на стороне сервера режимы и плагины! например такие как уменьшенный разброс (rcs), увеличенное количество патронов в обойме (разброс x,y после деф количества выстрелов, будет сильно отличаться от привычного), повышенный урон, восстановление hp (вампиризм), гравитация, присутствие дамага (вводит в заблуждение при наблюдении за игроком который пользуясь дамагером простреливая через дым, воспринимается как ВХ), воскрешение, csdm и тд

Помните.
— чекер программы, являются лишь дополнительным инструментарием, в помощь адМЭНам, для более детализированного и ускоренного анализа DEMO по выявлению читерастов!
— если Вы занимаетесь выяснением читер или нет игрок, то только Вы «судья», который должен руководствоваться фактами, а не мнением, доводами и неверно истолкованными вами данными чекеров!

Источник

What is a hacker attack?

“One ought never to turn one’s back on a threatened danger and try to run away from it. If you do that, you will double the danger. But if you meet it promptly and without flinching, you will reduce the danger by half.” Winston Churchill

T he hacker can be anyone if he/she has a basic knowledge, desire, motivation, and (sometimes) some money. In addition to these characteristics, the successful hacker must have a large dose of patience and planning workability. However, neither all hackers are all the same, nor all hackers have the same goals. [1] Hacker attack can be defined as illegal computer system penetration in order to manipulate the PC and all the associated systems. This goal is being reached with the help of special scripts or programs, that manipulate the processing of data received via a network connection to get an access to confidential information. Hacking techniques include the use of viruses, worms, Trojans, cryptographers, browser hijackers, rootkits and DoS attacks.

Sources of hacker attacks

Preconfigured hacker scripts are available for download online for everyone, including novice users. In fact, any person who is patient and determined enough can learn how to hack computer systems, and people who are interested in stealing data for their own petty aims can easily learn how to do that. However, these people are not the main source of problems connected with hacker’s attacks. The biggest problems cause professional hackers who modify scripts and develop new hacking techniques, as they are the most serious threat to data and system security. [2]

How to recognize a hacker attack?

The fact that your computer got hacked is obvious if your friends, colleagues and other people from your contact list receive phishing emails from your email address or if your computer is blocked by a coder. There can be also a different, less obvious situation, when your browser is being hijacked, In that case, when a user is trying to get to his online banking, hacked browser opens fake pages of online banking and collects all the data a user enters. This hacking becomes apparent only when funds disappear from a bank account, or when a third party starts to use your online personality. Quantifying losses caused by the cyber-attacks is very difficult and unprecise. Losses consist not only of the direct cost of lost money, but of the costs of cleaning up and the investigation, as well. In addition, every day improving protection costs money. The year 2011 was called “The Year of the Hack” [3]

I use only Facebook and I am not a secret agent, why someone should be interested in hacking me?

Such a neglect of one’s own security on the Web leads to massive hacking attacks and infection of devices with lots of viruses. Most of hacker attacks are aimed for a commercial gain. If there is no information regarding bank cards or accounts, or any of state or commercial secrets, such an information can be found on an account connected to the current one (friends, relatives, colleagues, etc.). This makes easier to get into computers or systems related to the victim’s system or simply ask for help using the victim’s personality and ask for some bank details or passport data,

No one can hack my password

Such passwords as 123456″, “123456789”, “qwerty”, “12345678” and “111111” have become the most common for people who were hacked. Password management software program named Keeper has figured out 25 most used passwords, and these passwords are used by 50% of all the web users. [4] That said, it is enough to enter one of the passwords offered by one of the similar systems to get into someone’s mailbox, online banking security system or a cloud storage. Such kind of programs can pick the correct 5-digit password by brute-force attack method within several seconds. A password should consist of at least 10 digits and contain letters, digits and punctuation marks; letters part should have both uppercase and lowercase to increase security. Symbols of a password should not form any words or set phrases (even in transliteration). You should not use the same password for different web pages and use such secret questions, such as “your first pet’s name” or “your mother’s maiden name”, etc. It is difficult to memorize several complicated passwords, that is why there are password managers that help to generate, remember and store such passwords safely.

I have the most complicated password, am I safe now?

A complicated password is not enough to guarantee full security from hacker attacks. That is the reason why most services now use two-factor authentication. Using this method, a system recognizes its user by two different signs. On the first stage it is usually something that user knows, like password or pin code. The second stage requires a usage of something that belongs to a user, such as smartphone. A user can receive an SMS notification with one-time use password or push notification which helps to confirm the input. One more possible factor is using of biometric information. This can be a fingerprint or a face recognition system. It is not safe to use only one of the methods listed above. Even a fingerprint can be “removed” from the screen of a smartphone or restored from a photo, as the hacker Starbug did, forging the fingerprints of German Defense Minister Ursula von der Leyen. [5]

Nothing bad can happen if I follow the link sent by my friend, even if we do not keep in touch for a while

Most likely, this friend was hacked. And they are trying to hack you too. This is called “phishing” — a hacker is trying to override user’s vigilance with an allegedly important message, using the following headings: “invoice”, “contract” or “see what video I found with you” that easily catch attention and make a user qurious. When a user launches the received attachment, the malware that looks like a common text file is being downloaded to a user’s device. But if you click on the properties of the “contract”, you can see that this file has the extension exe instead of txt. Or a user follows the link and gets to a starting page of a social network or mail service. Thinking that he was just accidentally logged out of the system, the user can re-enter his login and password. However, the “start” page is only a fake, and user data gets in the hands of intruders. The similar situation happened with one of the members of the US Democratic Party. As a result of following the wrong link he filled out a form on the website which supposed to be a mailbox. However, it was not a mailbox, and this is how attackers got an access to inbox of Hillary Clinton’s party member and got email addresses of the rest of the members. In case if you identify a similar email, you need to mark it as spam. And yes, don’t open it as well. [6]

How can I recognize that a website is not fake?

If you clicked on a link in a letter that forwards you to a popular website, double check its URL. For example, a fake Google email site can contain “hmail.com” in URL address instead of “gmail.com”. The difference is not obviously recognizable, but really efficient. Also pay attention to the security protocol of the site (these are the very first letters that are in front of the address body). Fake sites rarely use the https protocol because it uses encryption. By the way, it’s better to use https protocol than http. It does not mean that those websites are harder to crack, but if hackers intrude into the transfer of information between the site and the user, then they will understand nothing in it.

I have antivirus, even two! Am I safe now?

Antivirus can be useful, but only if we are talking about viruses that have been already recognized and added to its library. If the virus is completely new, then the antivirus will not recognize the malware.

What else can I do to be safe?

Recently, attacks of extortionists have become more and more frequent. For example, hackers can encrypt data on a victim’s computer. They are not interested in the contents of the hard disk of the computer, but in bitcoins, which they ask for decryption. It is important not to pay the blackmailers, as there are no guarantees that they will keep their promise and decrypt the data or keep it confidential. There was a so-called WannaCry virus attack spring of the last year. It showed the importance of updating the operating system on time and how it is dangerous to use cracked pirate software. The WannaCry virus used a bug in Windows operating system that was further corrected in next versions of OS. Those who used the cracked version of software or did not have time to update Windows became victims of cyber attacks. [7]

Please also remember to create a backup of your systems (PC, your smartphone, etc.) to be able to restore all the necessary data in case of a hacker attack. By the way, most encryption viruses activate after a reboot, so if you realize that you got a virus, do not rush to turn off the computer. Try to get rid of it during the working session with the help of antivirus or computer backup.

Источник

Матрица ATT&CK. Как устроен язык описания угроз и как его используют

Содержание статьи

Итак, что такое MITRE и что за ата­ки? MITRE — это неком­мерчес­кая орга­низа­ция, которая работа­ет в США и управля­ет цен­тра­ми иссле­дова­ний и раз­работок на уров­не федераль­ного пра­витель­ства и мес­тно­го само­управле­ния. В зону инте­ресов MITRE вхо­дят: искусс­твен­ный интеллект, кван­товая информа­тика, информа­тика в области здра­воох­ранения, кос­мичес­кая безопас­ность, обмен дан­ными о киберуг­розах и средс­твах защиты и так далее.

В сфе­ре информа­цион­ной безопас­ности кор­порация MITRE извес­тна бла­года­ря спис­ку CVE (Common Vulnerabilities and Exposures) cve.mitre.org. Это база обще­извес­тных уяз­вимос­тей, которая появи­лась в 1999 году и с тех пор ста­ла одним из основных ресур­сов, где струк­туриру­ют и хра­нят дан­ные по багам в ПО. Имен­но эти базы исполь­зуют зло­умыш­ленни­ки при пер­вой попыт­ке про­ник­нуть в инфраструк­туру жер­твы пос­ле ска­ниро­вания сети.

CVE — не единс­твен­ный про­ект MITRE, свя­зан­ный с защитой информа­ции. Сущес­тву­ют и активно раз­вива­ются так­же такие нап­равле­ния:

Оте­чес­твен­ные регуля­торы, кста­ти, тоже занима­ются подоб­ными иссле­дова­ниями — 5 фев­раля 2021 года ФСТЭК Рос­сии выпус­тил ме­тоди­чес­кое пособие по оцен­ке угроз безопас­ности информа­ции. На трид­цатой стра­нице показан при­мер сце­нария ата­ки.

Фраг­мент методи­чес­кого пособия

В народе эту таб­лицу уже проз­вали FST&CK, но это уже сов­сем дру­гая исто­рия.

Зачем нам ATT&CK

MITRE пред­ста­вил мат­рицу ATT&CK в 2013 году как спо­соб опи­сания и катего­риза­ции поведе­ния зло­умыш­ленни­ков (сос­тавле­ния пат­тернов поведе­ния) на осно­ве реаль­ных наб­людений. Преж­де чем начать раз­бирать, как поль­зовать­ся мат­рицей, давай прой­дем­ся по основным поняти­ям (не пережи­вай, их все­го три).

APT (Advanced Persistent Threat) — это груп­па зло­умыш­ленни­ков или даже стра­на, которые учас­тву­ют в про­дол­житель­ных кибера­таках на орга­низа­ции или стра­ны. Дос­ловный перевод тер­мина — прод­винутая пос­тоян­ная угро­за. Про­читав всю статью, ты пой­мешь, что осо­бо прод­винуто­го ничего нет.

Боль­шой спи­сок извес­тных APT-групп, который ведут фанаты информа­цион­ной безопас­ности.

На­боры TTP (тех­ники, так­тики и про­цеду­ры), рас­шифро­выва­ются сле­дующим обра­зом:

Как вооб­ще дей­ству­ет ата­кующий? Он откры­вает свой учеб­ник для мам­киных хакеров, где на вто­рой стра­нице зна­комит­ся с поняти­ем Kill Chain. Kill Chain, то есть «цепоч­ка убий­ства», — модель, опре­деля­ющая пос­ледова­тель­ность дей­ствий, ведущих наруши­теля к цели. Она сос­тоит из ряда обыч­но пос­ледова­тель­ных эта­пов:

Мат­рица MITRE ATT&CK началась с внут­ренне­го про­екта, извес­тно­го как FMX (Fort Meade Experiment). В рам­ках его спе­циалис­там по безопас­ности пос­тавили задачу ими­тиро­вать враж­дебные TTP про­тив сети, а дан­ные об ата­ках на эту сеть затем собира­ли и ана­лизи­рова­ли. Имен­но эти дан­ные потом лег­ли в осно­ву ATT&CK. Пос­коль­ку мат­рица ATT&CK пред­став­ляет собой доволь­но пол­ное опи­сание поведе­ния, которое зло­умыш­ленни­ки исполь­зуют при взло­ме сетей, мат­рица полез­на для раз­личных нас­тупатель­ных и защит­ных изме­рений, пред­став­лений и дру­гих механиз­мов (нап­ример, модели­рова­ния угроз по ФСТЭК).

MITRE раз­бил ATT&CK на нес­коль­ко свод­ных мат­риц:

В каж­дой из них — так­тики и тех­ники, свя­зан­ные с пред­метом этой мат­рицы. Самая популяр­ная мат­рица — Enterprise. Она, в свою оче­редь, сос­тоит из ответ­вле­ний, ответс­твен­ных каж­дое за свое:

Даль­ше мы рас­смот­рим имен­но эту мат­рицу. Раз­бивка на под­матри­цы сде­лана не прос­то так. Нап­ример, PRE Matrix и осталь­ные час­ти мож­но наложить на эта­пы кил­лчейн сле­дующим обра­зом.

Мат­рица ATT&CK Enterprise для модели Kill Chain

Как видишь, в PRE Matrix содер­жатся дан­ные, которые каса­ются под­готови­тель­ных эта­пов ата­ки, нап­ример ска­ниро­вание и инвента­риза­ция сети, фишинг или соци­аль­ная инже­нерия. А осталь­ные под­табли­цы мат­рицы Enterprise содер­жат самое инте­рес­ное. В вер­хней час­ти мат­рицы рас­положе­но 14 катего­рий. Каж­дая катего­рия содер­жит так­тики, которые может исполь­зовать зло­умыш­ленник.

Ка­тего­рии мат­рицы ATT&CK Enterprise и количес­тво вло­жен­ных тех­ник в каж­дой катего­рии

Раз­берем, нап­ример, так­тику Execution (исполне­ние). Сколь­кими спо­соба­ми мож­но что‑либо запус­тить на конеч­ной сис­теме? Выдумы­вать велоси­пед и собирать кон­сорци­ум уже не нуж­но, все дав­но про­дума­ли умные дяди. Рас­кро­ем выб­ранную так­тику TA0002 Execution и уви­дим, сколь­ко тех­ник исполне­ния быва­ет. Их все­го десяток, не счи­тая под­техник:

У тех­ники могут быть свои под­техни­ки. Если ты клик­нешь на пра­вую часть (нев­разуми­тель­ную серую тра­пецию), они рас­кры­вают­ся.

Под­техни­ки T1059 Command and Scripting Interpreter

Скрип­ты и коман­ды ука­заны для раз­ных популяр­ных ОС, которые могут исполь­зовать­ся при про­веде­нии вре­донос­ной кам­пании. Если клик­нуть по над­писи, откры­вает­ся стра­ница, пос­вящен­ная опи­санию опре­делен­ной тех­ники, как при­мер — по кли­ку на Command and Scripting Interpreter откры­вает­ся дос­туп ко всей свя­зан­ной информа­ции, каса­ющей­ся это­го метода, а имен­но: крат­кое опи­сание тех­ники, при­меры про­цедур по раз­личным груп­пиров­кам и меры для сни­жения рис­ков.

При модели­рова­нии угроз по новой методи­ке ФСТЭК ты дол­жен исполь­зовать набор TTP, как конс­трук­тор Lego. Видишь ата­ку — фор­мируй все пути ее реали­зации (сце­нарии) из кубиков TTP, при­чем MITRE ATT&CK ука­зыва­ется как один из воз­можных источни­ков для фор­мирова­ния исходных дан­ных.

Что­бы выделить исполь­зуемые тех­ники, так­тики и про­цеду­ры, пос­ле ана­лиза вре­донос­ной прог­раммы мож­но вос­поль­зовать­ся MITRE ATT&CK Navigator вмес­то Excel. Для при­мера можешь пос­мотреть раз­ложения целевой ата­ки Carbanak на TTP.

Ко­роче, мат­рицу MITRE ATT&CK исполь­зовать мож­но и нуж­но — и в рам­ках ана­лиза вре­донос­ного ПО, и для сопос­тавле­ния так­тик и методов раз­ных груп­пировок. В качес­тве при­мера можешь пос­мотреть ис­сле­дова­ние Group-IB, в котором раз­бира­ется шиф­роваль­щик ProLock. Там есть раз­дел MITRE ATT&CK Mapping, где рас­писаны исполь­зуемые так­тики и тех­ники.

Для авто­мати­зации мап­пинга мож­но исполь­зовать офи­циаль­ный инс­тру­мент (пока он beta) Threat Report ATT&CK Mapper (TRAM), который с помощью механиз­мов NLP (обра­бот­ка тек­стов на естес­твен­ном язы­ке) по клю­чевым сло­вам пред­лага­ет соот­ветс­тву­ющую так­тику или тех­нику. Ана­лити­ку в таком слу­чае оста­ется толь­ко под­твер­дить либо откло­нить пред­ложение. Эту ути­литу мы рас­смот­рим в одном из будущих матери­алов.

Правила CAPA

Раз­решения, которые зап­рашива­ет при уста­нов­ке поч­ти любое при­ложе­ние для Android, дав­но прив­лека­ют вни­мание ИБ‑спе­циалис­тов. Обыч­но про­сят и дос­туп к камере, и к мик­рофону, и к сети. Конеч­но же, что­бы отправ­лять все это тво­ему курато­ру!

Ис­сле­дова­телям из FireEye это пон­равилось — а что меша­ет про­верить, какие воз­можнос­ти есть у опре­делен­ного исполня­емо­го фай­ла? Ска­зано — сде­лано, и тут в игру всту­пают пра­вила CAPA.

При­мер Android-при­ложе­ния с его раз­решени­ями

При динами­чес­ком ана­лизе объ­екта он запус­кает­ся в изо­лиро­ван­ной сре­де и монито­рит­ся вся активность на уров­не гипер­визора или спе­циаль­ных ути­лит. Исполь­зуя CAPA-пра­вила (они, кста­ти, опен­сор­сные), ана­литик может сок­ратить вре­мя, про­вес­ти пред­варитель­ный ста­тичес­кий ана­лиз объ­екта и скон­цен­три­ровать­ся на потен­циаль­ных активнос­тях и воз­можнос­тях прог­раммы по мат­рице MITRE ATT&CK.

При­мер ана­лиза с помощью пра­вил САРА фай­ла 1.exe

Ви­дим, что ана­лизи­руемый файл исполь­зует три так­тики и пять тех­ник по мат­рице MITRE ATT&CK. Помимо это­го, CAPA выводит спи­сок воз­можнос­тей исполня­емо­го фай­ла по исполь­зуемым фун­кци­ям.

Ис­поль­зуемые фун­кции объ­екта 1.exe

Ав­томати­чес­кое опре­деле­ние воз­можнос­тей в CAPA реали­зова­но через поиск харак­терных арте­фак­тов. Это исполь­зуемые вызовы API, стро­ки, кон­стан­ты, соз­дание мьютек­сов и сокетов, под­гру­жаемые либы. Эти арте­фак­ты зада­ются пра­вила­ми (похожи­ми на пра­вила YARA), которые помога­ют выявить фун­кции, реали­зован­ные во вре­доно­се.

Рас­смот­рим при­мер пра­вила САРА.

CAPA-пра­вило: schedule task via command line

В пер­вую оче­редь CAPA извле­кает стро­ки и кон­стан­ты, которые могут быть име­нами фун­кций или о чем‑то говорить экспер­ту. Най­ден­ное раз­деля­ется на фай­ловые свой­ства и резуль­таты дизас­сем­бли­рова­ния (стро­ки, кон­стан­ты, вызовы). Фай­ловые свой­ства — это заголов­ки и импорти­руемые API (в том чис­ле наз­ваний исполь­зуемых фун­кций). В при­мере выше исполь­зует­ся логичес­кое усло­вие:

То есть пра­вило детек­тиру­ет кон­соль­ные коман­ды, с помощью которых соз­дают­ся задачи в пла­ниров­щике Windows.

Выводы

Со­общес­тво людей, заин­тересо­ван­ных в под­дер­жке филосо­фии MITRE ATT&CK, с каж­дым годом все боль­ше, поэто­му и при­мене­ние этой мат­рицы ста­новит­ся мей­нстри­мовым. К при­меру, вен­доры исполь­зуют ATT&CK для соз­дания алер­тов в сво­их про­дук­тах. Такой под­ход упро­щает рас­сле­дова­ние инци­ден­тов и реаги­рова­ние на них. В общем, ATT&CK — это не прос­то хайп, а важ­ная и для все­го рын­ка кибер­безопас­ности база зна­ний.

Мат­рица MITRE ATT&CK в отче­те Group-IB Polygon ком­плек­са Threat Hunting Framework

Мат­рица поз­воля­ет стро­ить модели угроз для раз­ных типов ком­паний и показы­вать, какие из извес­тных угроз мож­но зак­рыть кон­крет­ными решени­ями. В теории это выг­лядит так: ком­пания, выбира­ющая решения для защиты сво­ей инфраструк­туры, про­еци­рует воз­можнос­ти зло­умыш­ленни­ка на мат­рицу ATT&CK и смот­рит, какие акту­аль­ные угро­зы оста­лись незак­рытыми.

Про­филь кибер­груп­пировок и их кам­паний по MITRE ATT&CK помога­ет понять, какие инс­тру­мен­ты исполь­зуют зло­умыш­ленни­ки, озна­комить­ся с их тех­никами и так­тиками. Эти зна­ния поз­воля­ют прог­нозиро­вать веро­ятную точ­ку вхо­да в орга­низа­ции.

Ак­тивное и пов­семес­тное при­мене­ние базы зна­ний ATT&CK поз­волит уни­фици­ровать под­ход все­го сооб­щес­тва кибер­безопас­ности — как бы поможет говорить на общем язы­ке.

При этом важ­но пом­нить, что две пос­ледние бук­вы в сок­ращении ATT&CK озна­чают Common Knowledge, то есть «обще­извес­тные вещи». Мат­рица стро­ится на осно­ве уже про­веден­ных атак и дает поведен­ческую справ­ку о том, какие TTP исполь­зовались. Бес­спор­но, это отличная база зна­ний, которая удоб­на в исполь­зовании, и у нее очень силь­ная под­дер­жка. Одна­ко парадокс в том, что она никог­да пол­ностью не опи­шет абсо­лют­но все тех­ники зло­умыш­ленни­ка, хоть и стре­мит­ся имен­но к это­му.

Борис Осепов

Специалист ИБ. Увлекаюсь средствами анализа вредоносного ПО. Люблю проверять маркетинговые заявления на практике 🙂

Источник