نسخه ۲۰ چارچوب MITRE ATT&CK با گسترش پوشش حملات به زیرساخت‌های حیاتی و فعالیت‌های بین‌دامنه‌ای منتشر شده است. این به‌روزرسانی شامل ثبت کمپین‌های حمله به تاسیسات آب ایالات متحده، نفوذ به زیرساخت‌های دولتی مکزیک با کمک هوش مصنوعی (که هر دو محیط IT و OT را در بر می‌گیرد) و به‌روزرسانی گروه‌ها و نرم‌افزارهای مرتبط با جاسوسی سایبری ایران، چین، کره شمالی و باج‌افزارها است.
امنیت زیرساخت‌های صنعتی (ICS)
در بخش ICS، دو کمپین جدید ثبت شده است: حملات سال ۲۰۲۶ به تاسیسات آب ایالات متحده (C0066) و نفوذ به زیرساخت‌های دولتی مکزیک (C0064). همچنین دو نرم‌افزار جدید به چارچوب اضافه شده‌اند: IOControl متعلق به گروه CyberAv3ngers برای دستگاه‌های IoT و OT لینوکسی، و یک ابزار مبتنی بر پایتون تولید شده توسط AI که در حمله مکزیک استفاده شد.
- تکنیک‌های جدید: اضافه شدن Command and Scripting Interpreter با ۶ زیر-تکنیک (شامل PowerShell، Unix Shell، Python و JavaScript) برای دقت بیشتر در شناسایی مفسرهای مورد استفاده عامل تهدید (Threat Actor).
- پروتکل‌های C2: تعریف زیر-تکنیک‌های جدید برای پروتکل‌های DNS و Publish/Subscribe جهت شناسایی ترافیک کنترل و فرماندهی (C2) در شبکه‌های صنعتی.
هوش مصنوعی و امنیت سازمانی (Enterprise)
نسخه ۲۰ تکنیک‌های متمرکز بر AI را معرفی کرده است تا نحوه تعامل مهاجمان با مدل‌های زبانی بزرگ (LLM) را مدل‌سازی کند:
- تزریق پرامپت (Prompt Injection): شامل تزریق مستقیم (Direct) و غیرمستقیم (Indirect) برای تغییر رفتار مدل.
- استخراج داده با AI: تکنیک AI-Enabled Exfiltration که نحوه هدایت Agentهای هوش مصنوعی سازمانی برای خروج داده‌ها را بررسی می‌کند.
- مسموم‌سازی نتایج (AI Result Poisoning): دستکاری محتوای وب برای تاثیر بر توصیه‌های دستیارهای AI.
- دور زدن دفاعات: تکنیک‌هایی برای مختل کردن تحلیل‌های امنیتی مبتنی بر LLM و دور زدن CAPTCHA.
علاوه بر این، روش‌های جدید برای دور زدن MFA از طریق سرقت رمزهای عبور مخصوص اپلیکیشن (Application-Specific Passwords) و به‌روزرسانی ابزارهای توسعه (Developer Tooling) در زنجیره تامین اضافه شده است.
اطلاعات تهدیدات سایبری (CTI)
در بخش تحلیل عاملان تهدید، تغییرات مهمی اعمال شده است:
- گروه‌های ایرانی: معرفی گروه NIMBUS MANTICORE مرتبط با سپاه پاسداران انقلاب اسلامی (IRGC) که سازمان‌های هوافضا، دفاعی و مخابراتی را هدف قرار می‌دهد، به همراه ۱۳ ابزار جاسوسی از جمله بک‌دور MiniBike.
- آسیا: به‌روزرسانی فعالیت‌های گروه Salt Typhoon (چین) در حمله به تجهیزات Edge تامین‌کنندگان تلکام و تغییر استراتژی APT38 (کره شمالی) از سرقت مالی به حملات زنجیره تامین نرم‌افزاری (مانند بسته‌های npm مسموم).
- جرم سایبری: معرفی باج‌افزار The Gentlemen که میزبان‌های ESXi و ذخیره‌سازهای NAS را هدف قرار می‌دهد و همچنین اضافه شدن Infostealer معروف Vidar.
امنیت موبایل و استراتژی‌های دفاعی
در بخش موبایل، تکنیک توزیع اپلیکیشن‌های مخرب از طریق منابع غیررسمی (مانند APKهای مستقیم، QR code و SMS) بازگردانی و بازنویسی شده است. همچنین بدافزار NGate معرفی شد که از تراشه‌های NFC برای سرقت داده‌های کارت‌های بانکی و برداشت وجه از ATM استفاده می‌کند.
از نظر دفاعی، استراتژی‌های شناسایی (DETs) اکنون دارای کانتکست پلتفرم و دارایی (Asset) هستند. این یعنی مدافعان می‌توانند تشخیص دهند که یک رفتار مشکوک مربوط به یک Workstation مهندسی است یا یک PLC، و تحلیل‌های جدید به گونه‌ای تنظیم شده‌اند که فعالیت‌های روتین نگهداری صنعتی را از حملات واقعی تفکیک کنند.
