ИИ-агент пропустил часть техник Interlock при сопоставлении с ATT&CK

За три прохода ИИ-агент сопоставил с MITRE ATT&CK от 19 до 22 из 25 техник, перечисленных в предупреждении CISA AA25-203a о вымогателе Interlock. Сверка с данными ATT&CK Enterprise не выявила вымышленных идентификаторов техник.

В предупреждении упоминались компрометация при посещении сайта (T1189) и выполнение с участием пользователя через вредоносные инструкции по копированию и вставке (T1204.004). В этом сценарии CAPTCHA направляла жертв открыть в Windows диалоговое окно Выполнить, вставить содержимое буфера обмена и запустить кодированный в Base64 PowerShell.

Активность Interlock также включала закрепление через PowerShell с помощью значения Chrome Updater в ключе реестра Run. Для эксфильтрации данных использовались такие инструменты, как AzCopy и WinSCP.

При сопоставлении техник агент подставлял более общие родительские идентификаторы T1036 и T1567 вместо указанных в бюллетене T1036.005 и T1567.002. Для T1219 он использовал устаревшее название. Агент не выявил T1056, T1530, T1555.003 и T1078.002, а также предложил T1090, опираясь на собственную интерпретацию описания SystemBC. Это предложение потребовало решения аналитика.

Для закрепления через ключи Run, запуска кодированного PowerShell из оболочки Windows и эксфильтрации с помощью AzCopy или WinSCP разработали три правила Sigma. Правила прошли структурную валидацию и были преобразованы в запрос Splunk. При тестировании правило ClickFix не обнаруживало кодированный PowerShell, если в нём не было параметров скрытого окна или обхода. После удаления этого лишнего условия правило стало соответствовать и тестовым событиям только с кодированным PowerShell, и событиям со скрытым окном.

Все шесть созданных вручную тестовых событий отработали ожидаемо. Два безвредных события не вызвали срабатываний. При этом обширное правило ClickFix может срабатывать на легитимную административную активность. Авторы отчёта рекомендуют:

• сверять идентификаторы и названия техник с зафиксированными данными ATT&CK;
• выполнять команду sigma check --fail-on-issues;
• конвертировать правила с помощью конвейера серверной части, принятого в организации;
• тестировать правила на репрезентативных вредоносных и безвредных событиях;
• проверять и калибровать правила по локальным журналам перед развёртыванием.

Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.

Ознакомиться подробнее с отчетом можно по ссылке.