Тактики;Техники;Процедуры

Разведку [TA0043] link=https://attack.mitre.org/versions/v10/tactics/TA0043/;Активное сканирование:Сканирование на наличие уязвимостей [T1595.002] Фишинг для получения информации [T1598] link=https://attack.mitre.org/versions/v10/techniques/T1598/ ;Злоумышленники производят сканирование серверов в поисках уязвимостей. Злоумышленники производят таргетированную рассылку писем с целью получения сведений о сети. Разработка вредоносного ПО [TA0042] link=https://attack.mitre.org/versions/v10/tactics/TA0042/; Разработка вредоносного ПО [T1587.001] link=https://attack.mitre.org/versions/v10/techniques/T1587/001/; Производится разработка и развертывание вредоносного ПО. Попытка доступа [TA0001] link=https://attack.mitre.org/versions/v10/tactics/TA0001/; Эксплойты в «public-facing»приложения [T1190] Получение данных через компрометацию легитимного ПО (Supply Chain Compromise) [T1195.002] link=https://attack.mitre.org/versions/v10/techniques/T1195/002/ ; Злоумышленники эксплуатируют известный, а также уязвимости нулевого дня, в «public-facing» приложения, например (smb, SSH, etc.) Проникновение в инфраструктуру организации происходит через компрометацию легитимного ПО: обновление затрояненного SolarWinds Orion и др. Получение кредов (логина/пароля) для осуществления доступа [TA0006]; Подбор пароля через перебор [T1110.001] и точечно [T1110.003] Дамп учетных данных из операционной системы: NTDS [T1003.003] link=https://attack.mitre.org/versions/v10/techniques/T1003/003/; Злоумышленники производят попытки подбора паролей по большим словарям и с минимальным скоупом. Злоумышленники получают доступ к копии базы данных AD. Закрепление в инрфаструктуре [TA0003]; Использование скомпрометированных аккаунтов жертв [T1078] link=https://attack.mitre.org/versions/v10/techniques/T1078/; Злоумышленники используют похищенные учетные данные для долгого пребывания в инфраструктуре, а также чтобы оставаться незамеченными. Исполнение команд [TA0002] link=https://attack.mitre.org/versions/v10/tactics/TA0002/; Использование команд и скриптов поддерживаемых операционной системой (Powershell/cmd, bash) [T1059.003] link=https://attack.mitre.org/versions/v10/techniques/T1059/003/; Злоумышленники используют нативные команды и оболочки ОС для проведения атак. Контроль трафика/команд [TA0011] link=https://attack.mitre.org/versions/v10/tactics/TA0011/; Прокси [T1090.003] link=https://attack.mitre.org/versions/v10/techniques/T1090/003/; Злоумышленники часто используют пользователей, пропуская через них трафик и тем самым маскируя его под легитимный. Также злоумышленники используют виртуальные частные сервера.