شهدت أعداد البرامج الضارة القاتلة ارتفاعًا كبيرًا

يمثل استخدام البرامج الضارة القاتلة تقنية Mitre ATT&CK التي يتم تتبعها باسم T1562 Impair Defences، والنمو الهائل في استخدامها جعلها ثالث أكثر تقنيات Mitre ملاحظة في عام 2023.

وقال بيكوس إن النمو كان أكثر دقة من خلال إعادة استخدام أدوات الأمن السيبراني كأدوات ضارة. على سبيل المثال، في عام 2023، قام طاقم برنامج الفدية LockBit بتحويل الأداة المساعدة TDSSKiller لمكافحة الجذور الخفية من Kaspersky إلى سلاح لقتل برامج أمان نقطة النهاية – بما في ذلك مايكروسوفت ديفندر.

يعد الارتفاع الكبير في البرمجيات الخبيثة القاتلة جزءًا من اتجاه أوسع للجهات الفاعلة في مجال التهديد التي تعمل على تحسين فرصها في شن هجمات ناجحة من خلال التهرب من الدفاعات السيبرانية لضحاياها – 70% من البرمجيات الخبيثة التي تم تحليلها من أجل التقرير تستخدم الآن تقنيات التخفي لتجنب الكشف وتثبيت الثبات والحفاظ عليه. . لاحظ بيكوس تضاعف استخدام الملفات أو المعلومات المبهمة، المصممة لإعاقة فعالية الأدوات الأمنية والتهرب من الكشف والاستجابة للحوادث والتحليل الجنائي اللاحق.

وقال حسين كان يوسيل، قائد الأبحاث الأمنية في شركة Picus Security: “قد يكون من الصعب للغاية اكتشاف ما إذا كان الهجوم قد أدى إلى تعطيل أدوات الأمان أو إعادة تكوينها لأنها قد تبدو وكأنها لا تزال تعمل كما هو متوقع”.

“إن منع الهجمات التي قد تعمل تحت الرادار يتطلب استخدام ضوابط أمنية متعددة مع نهج دفاعي متعمق. يجب أن يكون التحقق من الأمان نقطة انطلاق للمؤسسات لفهم مدى استعدادها بشكل أفضل وتحديد الثغرات.

“ما لم تقم منظمة ما بمحاكاة الهجمات بشكل استباقي لتقييم رد فعلها إدر, XDR [extended detection and response], سيم [security information and event management]والأنظمة الدفاعية الأخرى التي قد يتم إضعافها أو القضاء عليها بواسطة البرمجيات الخبيثة القاتلة، فإنها لن تعرف أنها معطلة إلا بعد فوات الأوان.

فيما يلي تكتيكات وتقنيات وإجراءات Mitre ATT&CK العشرة الأكثر شيوعًا (TTPs) والتي تظهر في بيانات Picus:

1. حقن العمليات T1055 – يُستخدم لتعزيز قدرة الجهة التهديدية على البقاء غير مكتشفة وربما رفع امتيازاتها عن طريق حقن تعليمات برمجية ضارة في عملية مشروعة، وبالتالي إخفاء ما يحدث بالفعل.
2. T1059 Command and Scripting Interpreter – يُستخدم لتنفيذ الأوامر والبرامج النصية والملفات الثنائية على النظام الضحية، مما يمكّن جهات التهديد من التفاعل مع النظام المخترق، أو استرداد المزيد من الحمولات والأدوات، أو تجاوز الإجراءات الدفاعية.
3. T1562 إضعاف الدفاعات – استخدام البرمجيات الخبيثة القاتلة كما هو مفصل.
4. اكتشاف معلومات النظام T1082 – يُستخدم لجمع البيانات حول النظام المخترق، مثل إصدار نظام التشغيل ومعرف kernel ونقاط الضعف المحتملة، من خلال الاستفادة من الأدوات المدمجة.
5. بيانات T1486 مشفرة للتأثير – تستخدمها خزائن برامج الفدية وماسحات البيانات.
6. T1003 OS Credential Dumping – يُستخدم للحصول على تسجيلات الدخول إلى الحساب وبيانات الاعتماد للوصول إلى الموارد والأنظمة الأخرى في بيئة الضحية.
7. بروتوكول طبقة التطبيقات T1071 – يُستخدم لمعالجة بروتوكولات الشبكة القياسية، مما يمكّن المهاجمين من التسلل إلى الأنظمة وسرقة البيانات عن طريق الدمج في حركة مرور الشبكة العادية.
8. T1547 التمهيد أو تنفيذ تسجيل الدخول التلقائي – يُستخدم لتكوين إعدادات النظام لتشغيل البرامج تلقائيًا عند بدء تشغيل الأنظمة أو تسجيل دخول المستخدمين، بهدف الحفاظ على التحكم أو تصعيد الامتيازات.
9. T1047 Windows Management Instrumentation (WMI) – يُستخدم لتنفيذ الأوامر والحمولات الضارة على مضيفي Windows المخترقين من خلال استغلال أداة إدارة بيانات وعمليات WMI.
10. T1027 الملفات أو المعلومات المبهمة – تُستخدم لإخفاء محتويات ملف ضار أو قابل للتنفيذ أثناء النقل عن طريق تشفيره أو تشفيره أو ضغطه.

وقال أوزارسلان إنه من أجل مكافحة البرمجيات الخبيثة القاتلة، والبقاء في مواجهة بعض TTPs الأخرى التي من المقرر أن يستمر استخدامها بشكل جيد في عام 2024، تحتاج المؤسسات إلى بذل المزيد من الجهد للتحقق من صحة دفاعاتها ضد إطار عمل Mitre ATT&CK وتبنيها. استخدام التعلم الآلي كمساعد إذا لزم الأمر.

يمكن أن يكون التقرير الكامل، والذي يتضمن قدرًا كبيرًا من التفاصيل حول تقنيات Mitre ATT&CK الأكثر شيوعًا تم تنزيله من Picus Security هنا.