MITRE ATT&CK v20 อัปเดตใหญ่ เพิ่มกลยุทธ์รับมือภัย AI และการโจมตีระบบน้ำ

MITRE ได้เปิดตัวเฟรมเวิร์ก ATT&CK เวอร์ชัน 20 เมื่อสัปดาห์ที่แล้ว โดยเพิ่มข้อมูลที่ครอบคลุมถึงการละเมิด AI, การบายพาส MFA และการโจมตีระบบสาธารณูปโภคน้ำที่เกิดขึ้นเมื่อเร็วๆ นี้

องค์กรระบุว่าการเปลี่ยนแปลงครั้งใหญ่ที่สุดใน ATT&CK v20 คือการขยายขอบเขตให้ครอบคลุมกิจกรรมและกลยุทธ์ล่าสุดของฝ่ายตรงข้ามได้อย่างทั่วถึงยิ่งขึ้น

ในส่วนของโดเมน Enterprise มีการเพิ่มรายการใหม่ 9 รายการ ทั้งในระดับเทคนิค (techniques) และเทคนิคย่อย (sub-techniques) โดยปัจจุบัน Prompt injection ถูกแบ่งออกเป็น 2 รูปแบบ คือ การป้อนคำสั่งมุ่งร้ายลงในอินเทอร์เฟซของ LLM โดยตรง และการซ่อนคำสั่งไว้ในข้อมูลที่โมเดลนำเข้าไปประมวลผล

นอกจากนี้ ยังมีเทคนิคที่อธิบายถึงการใช้ AI agents ขององค์กรเพื่อขโมยข้อมูล และเทคนิคย่อยที่ครอบคลุมถึงการวางยา (poisoning) เนื้อหาบนเว็บเพื่อแทรกแซงการค้นหาหรือระบบแนะนำของ AI รวมถึงการขัดขวางการวิเคราะห์มัลแวร์ที่ใช้ LLM เป็นเครื่องมือ

ขณะเดียวกัน มีเทคนิคใหม่ที่ใช้ติดตามการขโมยรหัสผ่านเฉพาะแอปพลิเคชัน (application-specific passwords) เพื่อเข้าสู่ระบบโดยไม่ต้องผ่านการยืนยันตัวตน MFA รวมถึงเทคนิคการบายพาสตรวจสอบ CAPTCHA ทั้งแบบแก้รหัสอัตโนมัติและการหลีกเลี่ยงการตรวจสอบ

สำหรับเทคนิคย่อยที่เกี่ยวกับซอฟต์แวร์ที่ถูกฝังช่องโหว่ (compromised software dependencies) และเครื่องมือพัฒนานั้น ได้ขยายขอบเขตไปถึงไฟล์กำหนดค่าของ IDE และ coding agent ด้วย โดย MITRE ชี้ว่าข้อมูลเหล่านี้ช่วยให้เห็นภาพชัดเจนว่าฝ่ายตรงข้ามหลีกเลี่ยง Multi-Factor Authentication, การตรวจสอบบอท และระบบ AI ได้อย่างไร

ในด้านระบบ ICS มีการติดตามแคมเปญโจมตี PLC ที่เชื่อมต่ออินเทอร์เน็ตในหน่วยงานด้าน water และระบบบำบัดน้ำเสียกว่า 30 แห่งใน Minnesota ซึ่งส่งผลให้เจ้าหน้าที่ถูกล็อกไม่ให้เข้าถึงระบบ แม้จะมีรายงานว่าคล้ายคลึงกับกิจกรรมของกลุ่มที่เชื่อมโยงกับอิหร่าน แต่ MITRE ระบุว่าการระบุตัวตนผู้อยู่เบื้องหลังใน Minnesota นั้นยังไม่ได้รับการยืนยัน

นอกจากนี้ยังมีแคมเปญที่บันทึกข้อมูลเกี่ยวกับ การละเมิดสถาบันรัฐบาลเม็กซิโกโดยใช้ AI ช่วย ซึ่งครอบคลุมทั้งระบบ IT และ OT ไปจนถึงระบบสาธารณูปโภคน้ำของเทศบาล

ปัจจุบัน ICS ได้รวมเทคนิค Command and Scripting Interpreter โดยมีเทคนิคย่อยสำหรับอินเทอร์พรีเตอร์ 6 ตัว แทนที่เทคนิคเดิมที่ถูกยกเลิกไป พร้อมเพิ่มเทคนิคย่อยใหม่เกี่ยวกับการรับส่งข้อมูล command and control ที่ซ่อนอยู่ใน DNS และโปรโตคอล publish/subscribe

สำหรับข้อมูลกลุ่มภัยคุกคาม MITRE ได้เพิ่ม Nimbus Manticore ซึ่งเป็นกลุ่มจารกรรมที่เกี่ยวข้องกับ IRGC ที่พุ่งเป้าไปที่องค์กรการบิน การป้องกันประเทศ และโทรคมนาคม

ขณะที่ข้อมูลของ Salt Typhoon จากจีนในปัจจุบันครอบคลุมการหาประโยชน์จาก network edge devices ส่วน APT38 จากเกาหลีเหนือได้สะท้อนถึงการเปลี่ยนจากการโจรกรรมทางการเงินไปสู่การโจมตีห่วงโซ่อุปทานซอฟต์แวร์ และมีการเพิ่มกลุ่ม The Gentlemen ซึ่งดำเนินกิจการ ransomware-as-a-service เข้ามาใหม่ด้วย

ในฝั่งของนักป้องกัน (Defenders) จะได้รับกลยุทธ์การตรวจจับใหม่รวม 15 รายการ แบ่งเป็นสำหรับ Enterprise 6 รายการ และสำหรับ ICS 9 รายการ โดยได้รับการสนับสนุนจากข้อมูลวิเคราะห์ 38 รายการ ซึ่งการวิเคราะห์สำหรับ ICS รูปแบบใหม่ถูกออกแบบมาให้เพิกเฉยต่องานวิศวกรรมและการบำรุงรักษาตามปกติเพื่อลด noise ในระบบ

สุดท้ายในส่วนของ Mobile ทาง MITRE ได้นำเทคนิคการส่งมอบแอปพลิเคชันมุ่งร้ายนอกสโตร์ทางการกลับมาใช้อีกครั้ง พร้อมเพิ่มข้อมูลมัลแวร์ NGate ที่สามารถส่งต่อข้อมูลบัตรชำระเงินผ่าน NFC ของโทรศัพท์ เพื่อให้ผู้โจมตีถอนเงินสดจากตู้ ATM ได้