MITRE ATT&CK: как читать язык, на котором говорят кибератаки
MITRE ATT&CK — это открытая, постоянно обновляемая база знаний о тактиках, техниках и процедурах (TTP), которые реальные злоумышленники используют против компьютерных сетей, облачных инфраструктур, мобильных устройств и промышленных систем управления (ICS). Проект был запущен некоммерческой организацией MITRE в 2013 году как внутренний исследовательский эксперимент, в котором аналитики одновременно играли роли атакующего и защищающегося, чтобы понять, какие поведенческие паттерны на самом деле стоит отслеживать в телеметрии. Сегодня это фактический мировой стандарт языка описания вредоносной активности.
Актуальная версия фреймворка на момент написания статьи — ATT&CK v19. В её состав входит 15 тактик, свыше 220 техник и порядка 475 подтехник, задокументированных для 178 именованных групп злоумышленников и почти тысячи образцов вредоносного ПО и инструментов. Одно из ключевых изменений именно этой версии — тактика Defense Evasion (Обход защиты) была разделена на две более точные: Stealth (маскировка поведения, при которой защитные механизмы остаются нетронутыми, но не видят угрозу — например, использование легитимных системных утилит) и Defense Impairment (активное подавление защиты — отключение EDR, порча логов, обход механизмов доверия).
Важно понимать принципиальное отличие ATT&CK от более старой модели Cyber Kill Chain. Kill Chain описывает атаку как линейную последовательность стадий "с точки зрения одного вторжения". ATT&CK — это каталог поведений с уникальными идентификаторами и связями между ними, который не предполагает жёсткой последовательности и одинаково хорошо описывает как классическое вторжение через фишинг, так и атаку на облачную инфраструктуру, где стадия "доставки полезной нагрузки" в привычном смысле может вообще отсутствовать.
Структура фреймворка
Модель ATT&CK построена как иерархия из четырёх уровней:
- Тактика (Tactic) — тактическая цель атакующего, ответ на вопрос "зачем": Initial Access, Execution, Persistence, Privilege Escalation, Defense Evasion (теперь Stealth/Defense Impairment), Credential Access, Discovery, Lateral Movement, Collection, Command and Control, Exfiltration, Impact и другие.
- Техника (Technique) — конкретный способ достижения тактической цели, ответ на вопрос "как": например, T1566 (Phishing) или T1059 (Command and Scripting Interpreter).
- Подтехника (Sub-technique) — уточнение техники: T1566.001 (Phishing: Spearphishing Attachment) в отличие от T1566.002 (Spearphishing Link).
- Процедура (Procedure) — конкретная реализация техники в реальной кампании конкретной группы: то, как именно APT29 использует T1059.001 (PowerShell) отличается от того, как это делает APT28.
Фреймворк разделён на три отдельные матрицы: Enterprise (корпоративные сети, облако, сетевая инфраструктура — самая крупная и используемая матрица), Mobile (мобильные устройства) и ICS (промышленные системы управления). Для большинства SOC и CTI-команд рабочей лошадкой остаётся именно Enterprise-матрица.
Кем и зачем применяется
ATT&CK используется практически всеми ролями внутри цикла кибербезопасности, но с разными акцентами:
- SOC-аналитики и Detection Engineering используют технику как единицу измерения покрытия: какие техники обнаруживаются существующими правилами SIEM/EDR, а какие остаются "слепыми зонами".
- Red Team и Purple Team строят сценарии эмуляции конкретного противника (adversary emulation), беря за основу задокументированные процедуры реальной APT-группы, а не абстрактный "пентест".
- Threat Intelligence (CTI) профилирует группы злоумышленников, сопоставляя новую кампанию с уже известными процедурами, что помогает в атрибуции и приоритизации.
- Incident Response использует технику как общий язык для описания инцидента в отчётах, который одинаково понятен и внутренней команде, и внешним партнёрам.
- Руководство и риск-менеджмент получает измеримую метрику покрытия защитных мер вместо расплывчатых оценок "у нас всё под контролем".
Как правильно использовать фреймворк — а не просто на него ссылаться
Распространённая ошибка — разовое картирование существующих детектов на матрицу ATT&CK Navigator и последующее "забывание" о ней. Чтобы фреймворк приносил реальную пользу, стоит придерживаться нескольких принципов:
- От оценки риска — к технике, а не наоборот. Если появилась информация об уязвимости или инциденте, полезно сразу сопоставлять её не просто с одной техникой типа T1190 (Exploit Public-Facing Application), а выстраивать вероятную цепочку последующих техник: закрепление через веб-шелл или задачу планировщика, повышение привилегий, попытки бокового перемещения. Это превращает разовую "панику по CVE" в устойчивый план обнаружения.
- Приоритизация, а не полное покрытие. Матрица содержит более 220 техник — попытка закрыть все сразу без приоритизации бессмысленна. Разумный подход — начать с техник, наиболее характерных для профиля угроз, релевантного именно вашей отрасли и региону (например, для энергетики и госсектора это иначе расставленные приоритеты, чем для ритейла).
- Detection Strategies и метрики, а не разовая матрица. Современная версия фреймворка включает готовые Detection Strategies и Analytics для многих техник — их стоит использовать как отправную точку, а не изобретать логику детектирования с нуля.
- ATT&CK Navigator — основной визуальный инструмент для построения тепловых карт покрытия, сравнения профиля конкретной группы с существующими средствами защиты и презентации результатов руководству без потери технических деталей.
- Adversary Emulation Plans. MITRE и сообщество публикуют готовые сценарии эмуляции (например, основанные на APT3 и APT29 для собственных ATT&CK Evaluations) — их удобно адаптировать под purple-team упражнения, вместо того чтобы придумывать сценарий "с нуля".
Ниже — разбор того, как эти абстрактные категории выглядят в реальных, задокументированных кампаниях четырёх APT-групп: двух российских и двух китайских, с разными операционными философиями.
APT29 / Cozy Bear — эталон терпеливой скрытности
Атрибуция: Служба внешней разведки России (СВР). Активна как минимум с 2008 года. Также известна под именами Cozy Bear, The Dukes, Midnight Blizzard, NOBELIUM, Dark Halo. MITRE ATT&CK ID группы: G0016.
APT29 — это, пожалуй, наиболее показательный пример "государственного" стиля работы: приоритет отдаётся не скорости, а незаметности и длительному нахождению в инфраструктуре жертвы (месяцы и годы, а не дни). Именно на TTP этой группы построен второй раунд официальных MITRE ATT&CK Evaluations — по словам ведущего инженера этой оценки, в отличие от более "шумного" APT3, APT29 даёт возможность протестировать защиту против кастомного вредоносного ПО и нестандартных способов исполнения кода.
Ключевые техники, задокументированные для группы:
- Initial Access: целевой спирфишинг с вредоносными вложениями Office (T1566.001), компрометация цепочки поставок (T1195) — наиболее известный пример — внедрение бэкдора SUNBURST в обновления платформы SolarWinds Orion в 2020 году, а также использование доверенных отношений между организациями (T1199) и валидных учётных данных (T1078).
- Execution: тяжёлая опора на PowerShell (T1059.001) и WMI, а также использование "living-off-the-land" бинарников вместо развёртывания палевного вредоносного ПО там, где это возможно.
- Persistence: создание и модификация системных процессов, задачи планировщика, манипуляции с учётными записями и правами делегированного администрирования Microsoft 365.
- Cloud-native операции: злоупотребление Azure AD / Microsoft 365, подделка токенов SAML ("Golden SAML"), работа с сервисными принципалами и сертификатами подписи — то есть смещение атаки из классической "сетевой" плоскости в плоскость идентификации и доверия в облаке. Именно это направление отмечали британский и американский центры кибербезопасности в 2024 году, описывая адаптацию SVR-акторов к облачным средам.
- Lateral Movement: использование удалённых сервисов (T1021), эксплуатация доверенных отношений между инстансами (T1072).
Операционный почерк APT29 иногда описывают как "смена темпа" — от медленных, тщательно спланированных операций до быстрых операций типа "хватай и беги", в зависимости от предполагаемой ценности цели и риска обнаружения.
APT28 / Fancy Bear — агрессивная и настойчивая разведка ГРУ
Атрибуция: Главное управление Генерального штaба Вооружённых сил России (ГРУ), предположительно 85-й главный центр специальной службы (GTsSS), войсковая часть 26165. Активна как минимум с 2004–2007 года. Также известна как Fancy Bear, Sednit, Sofacy, Pawn Storm, STRONTIUM/Forest Blizzard. MITRE ATT&CK ID: G0007.
Если APT29 — это "терпение", то APT28 — это "напор". Группа заметно более агрессивна, шумна в тактическом смысле и в первую очередь ориентирована на массовый сбор учётных данных, а не на многолетнее незаметное присутствие. Именно APT28 стоит за широко задокументированными атаками на Демократический национальный комитет и предвыборный штаб в 2016 году, а также серией операций против Всемирного антидопингового агентства (WADA), Организации по запрещению химического оружия (OPCW) и швейцарской химической лаборатории Spiez, за что в 2018 году были выдвинуты обвинения против пятерых сотрудников ГРУ.
Ключевые техники:
- Initial Access: целевой спирфишинг (T1566) как основной вектор, включая вредоносные вложения и поддельные страницы аутентификации для массового сбора учётных данных; эксплуатация известных уязвимостей во внешне доступных сервисах и сетевом оборудовании (T1190) — в частности, задокументированная CISA кампания по компрометации маршрутизаторов Cisco с использованием техник разведки и закрепления.
- Privilege Escalation: злоупотребление токенами доступа — например, задокументированное использование конкретной уязвимости Windows для копирования системного токена в текущий процесс.
- Credential Access: агрессивный сбор учётных данных через фальшивые формы входа и последующие атаки типа NTLM-relay против организаций с высокой ценностью.
- Command and Control: широкий арсенал модульных бэкдоров собственной разработки — CHOPSTICK (работает через HTTP/HTTPS и другие каналы), ADVSTORESHELL, CORESHELL, а также кросс-платформенные инструменты вроде Zebrocy и Linux-бэкдора Fysbis.
- Overlap с деструктивными операциями: часть операций проводилась совместно с войсковой частью 74455 (также известной как Sandworm/APT44), что отражает более широкое разделение труда внутри ГРУ — APT28 фокусируется на разведке и краже данных, тогда как Sandworm специализируется на деструктивных операциях (NotPetya, атаки на энергосистему Украины).
Разница между двумя российскими группами хорошо иллюстрирует важный тезис threat intelligence: атрибуция "России" как единого актора малоинформативна — реальная ценность в различении конкретных операционных школ внутри страны, поскольку они защищаются по-разному.
APT41 / Wicked Panda — двойной мандат китайского госзаказа и киберпреступности
Атрибуция: китайская государственно-спонсируемая группа, действующая как минимум с 2012 года (отдельные исследователи прослеживают активность отдельных участников с 2007 года). Также известна как Wicked Panda, Winnti, BARIUM, Brass Typhoon, Double Dragon, Earth Baku. MITRE ATT&CK ID: G0096.
APT41 — во многом уникальный случай среди китайских групп: она одновременно выполняет задачи государственного шпионажа и ведёт финансово мотивированную киберпреступную деятельность, используя один и тот же арсенал непубличного, "шпионского" уровня инструментария. По оценке компании Mandiant, впервые подробно раскрывшей эту двойственность, операции группы затронули более сотни организаций в 40 странах на всех обитаемых континентах, охватив здравоохранение, телеком, высокие технологии, игровую индустрию и госсектор.
Ключевые техники и особенности:
- Initial Access: компрометация цепочки поставок как визитная карточка группы — трояны в CCleaner, ASUS Live Update, NetSarang; также быстрое, почти промышленное освоение свежих уязвимостей, включая эксплуатацию нашумевших CVE (Log4Shell, ProxyLogon) в первые дни и недели после публикации.
- Execution/Defense Evasion: тяжёлая опора на "living-off-the-land" техники, DLL side-loading через легитимные подписанные исполняемые файлы, что затрудняет обнаружение классическими сигнатурными методами.
- Command and Control: использование serverless/cloud-native инфраструктуры — Google Cloud Functions, Azure Functions — в качестве C2, что снижает вероятность попадания в блок-листы, ориентированные на "традиционные" вредоносные IP-адреса; сетевой протокол KCP поверх UDP для трафика бэкдора KEYPLUG.
- Malware arsenal: ShadowPad и PlugX (модульные бэкдоры, широко распространённые среди китайских групп в целом, что затрудняет атрибуцию по одному лишь вредоносному ПО), Cobalt Strike, China Chopper (веб-шелл), а также относительно новые семейства DodgeBox и MoonWalk, отмеченные в отчётах 2024 года.
- "Рабочий график": пожалуй, самая нетипичная черта группы — по наблюдениям исследователей, в рабочее время по китайскому времени операторы ведут целевые вторжения, соответствующие государственным интересам, а в вечернее и выходное время те же самые операторы переключаются на кампании против игровой индустрии и криптовалютных платформ, иногда разворачивая шпионские импланты и криптомайнеры в одной и той же скомпрометированной среде.
Для защитников практическая ценность профиля APT41 в первую очередь в мониторинге очень конкретных индикаторов поведения: аномальные задачи планировщика или службы, паттерны C2-трафика KEYPLUG, поведение маячков ShadowPad и признаки исполнения полезной нагрузки исключительно в памяти без создания файла на диске.
Volt Typhoon — предпозиционирование в критической инфраструктуре
Атрибуция: китайская государственно-спонсируемая группа. Также известна как Bronze Silhouette, Vanguard Panda, Insidious Taurus. MITRE ATT&CK ID группы: G1017.
Volt Typhoon стоит особняком даже среди китайских групп, потому что её задокументированное поведение, по совместной оценке CISA, NSA и ФБР, не согласуется с классическим шпионажем или сбором разведданных — вместо этого группа предпозиционируется в IT-сетях объектов критической инфраструктуры (энергетика, связь, транспорт, водоснабжение) на территории США и его территорий, включая Гуам, предположительно для получения возможности бокового перемещения в операционные технологические сети (OT) в случае будущего геополитического кризиса или военного конфликта.
Ключевая техническая особенность — почти полный отказ от кастомного вредоносного ПО в пользу "living-off-the-land" подхода:
- Initial Access: эксплуатация уязвимостей во внешне доступных устройствах — маршрутизаторах, файрволах, VPN-шлюзах (T1190), включая задокументированные CVE в конкретных моделях сетевого оборудования; злоупотребление легитимными средствами удалённого доступа (T1133).
- Execution & Defense Evasion: использование исключительно встроенных системных утилит — wmic, ntdsutil, netsh, PowerShell (T1059) — вместо развёртывания отдельных вредоносных бинарников. Это резко снижает эффективность традиционных антивирусных сигнатур, поскольку с точки зрения хоста активность выглядит как легитимное системное администрирование.
- Discovery: активная разведка внутри сети после получения точки опоры для картирования путей до систем, представляющих ценность (T1057 и смежные техники сетевого/системного discovery).
- Lateral Movement & Persistence: боковое перемещение к критическим системам с опорой на скомпрометированные учётные данные, а не на отдельные импланты закрепления — то есть закрепление во многом держится на легитимном доступе, а не на вредоносном коде, который можно было бы просто удалить антивирусом.
- Инфраструктура: по данным Министерства юстиции США, часть операций Volt Typhoon опиралась на скрытую бот-сеть из скомпрометированных маршрутизаторов малого офиса/дома (SOHO), которая впоследствии была нарушена в результате санкционированной операции американских правоохранительных органов.
Именно случай Volt Typhoon чаще всего приводят как аргумент в пользу того, что современный SOC не может полагаться исключительно на сигнатурное обнаружение вредоносного ПО: если у атакующего вообще нет "вредоносного файла" в классическом смысле, детектирование должно строиться на поведенческих аномалиях — например, на том, что учётная запись службы технической поддержки внезапно выполняет ntdsutil для извлечения базы Active Directory там, где это исторически никогда не происходило.
Что объединяет и что различает эти четыре профиля
Сопоставление даже этих четырёх групп на одной матрице ATT&CK наглядно показывает, зачем вообще нужен единый язык описания угроз:
- APT29 — максимальная скрытность, ставка на облачную идентификацию и доверие, супply-chain как стратегическое оружие.
- APT28 — скорость и масштаб сбора учётных данных, готовность к операционному риску обнаружения ради разведывательного результата "здесь и сейчас".
- APT41 — уникальное совмещение государственного заказа и личной финансовой выгоды операторов, что стирает привычную границу между "APT" и "киберпреступностью".
- Volt Typhoon — почти полный отказ от вредоносного ПО в пользу легитимных инструментов и предпозиционирование как самоцель, а не немедленный сбор данных.
Ни один из этих профилей нельзя защитить одним и тем же набором правил детектирования. Именно поэтому зрелые программы Threat Intelligence и Detection Engineering строят покрытие не "от абстрактного хакера", а от конкретных, задокументированных в ATT&CK процедур тех групп, которые релевантны отрасли и региону конкретной организации — и регулярно перепроверяют это покрытие по мере того, как сами группы меняют инструментарий в ответ на публичные разоблачения.