TA0040

تأثیر

Impact

توضیحات

مهاجم سعی می‌کند سیستم‌ها، داده‌ها و زیرساخت‌ها را دستکاری، قطع یا نابود کند. تکنیک‌های تأثیر می‌توانند برای اهداف مختلفی مانند اخاذی، تخریب و دستکاری داده استفاده شوند.

تکنیک‌ها (15)

شناسهنام تکنیکزیرتکنیک

T1485

از بین بردن دادهData Destruction

مهاجمان داده‌های روی سیستم‌های هدف را به صورت غیرقابل بازیابی حذف یا خراب می‌کنند تا سیستم‌ها را از کار بیندازند.

—

T1486

رمزنگاری داده برای تأثیرData Encrypted for Impact

مهاجمان داده‌های سیستم‌های هدف را رمزنگاری می‌کنند تا دسترسی به آن‌ها را مسدود کنند و برای رمزگشایی باج بخواهند (باج‌افزار).

—

T1489

متوقف کردن سرویسService Stop

مهاجمان سرویس‌های حیاتی مانند آنتی‌ویروس، firewall و سرویس‌های کسب‌وکار را متوقف می‌کنند تا عملیات را مختل کنند.

—

T1490

جلوگیری از بازیابی سیستمInhibit System Recovery

مهاجمان ابزارها و فرآیندهای بازیابی سیستم مانند shadow copy ها، backup ها و restore point ها را حذف یا غیرفعال می‌کنند.

—

T1491

تخریب ظاهریDefacement

مهاجمان محتوای وب‌سایت‌ها یا صفحات نمایش سیستم‌ها را تغییر می‌دهند تا پیام‌های خود را منتشر کنند یا اعتبار سازمان را خدشه‌دار کنند.

└T1491.001

تخریب ظاهری داخلیInternal Defacement

مهاجمان محتوای داخلی مانند صفحات intranet و سیستم‌های داخلی را تغییر می‌دهند.

└T1491.002

تخریب ظاهری خارجیExternal Defacement

مهاجمان محتوای وب‌سایت‌های عمومی سازمان را تغییر می‌دهند تا پیام‌های خود را به عموم نشان دهند.

T1495

دستکاری FirmwareFirmware Corruption

مهاجمان firmware دستگاه‌ها را خراب می‌کنند تا آن‌ها را غیرقابل استفاده کنند یا دسترسی پایدار ایجاد کنند.

—

T1496

ربودن منابعResource Hijacking

مهاجمان منابع سیستم مانند CPU، GPU و پهنای باند شبکه را برای اهداف خود مانند استخراج ارز دیجیتال استفاده می‌کنند.

—

T1498

حمله انکار سرویس شبکهNetwork Denial of Service

مهاجمان با ارسال حجم زیادی از ترافیک به سرورها و زیرساخت شبکه، سرویس‌ها را برای کاربران قانونی غیرقابل دسترس می‌کنند.

└T1498.001

Flood ترافیک مستقیمDirect Network Flood

مهاجمان ترافیک حجیم را مستقیماً به سیستم هدف ارسال می‌کنند تا منابع آن را تخلیه کنند.

└T1498.002

AmplificationReflection Amplification

مهاجمان از سرورهای واسط برای تقویت و بازتاب ترافیک به سمت هدف استفاده می‌کنند.

T1499

حمله انکار سرویس endpointEndpoint Denial of Service

مهاجمان سیستم‌های endpoint را با مصرف منابع یا crash کردن آن‌ها از کار می‌اندازند تا سرویس‌های ارائه شده را مختل کنند.

└T1499.001

Flood ترافیک OSOS Exhaustion Flood

مهاجمان منابع سیستم‌عامل مانند حافظه و CPU را با ارسال درخواست‌های زیاد تخلیه می‌کنند.

└T1499.002

Flood سرویسService Exhaustion Flood

مهاجمان سرویس‌های خاص مانند وب سرور را با ارسال درخواست‌های زیاد از کار می‌اندازند.

T1529

خاموش کردن/راه‌اندازی مجدد سیستمSystem Shutdown/Reboot

مهاجمان سیستم‌ها را خاموش یا راه‌اندازی مجدد می‌کنند تا عملیات را مختل کنند یا تغییرات مخرب را اعمال کنند.

—

T1531

حذف دسترسی حسابAccount Access Removal

مهاجمان دسترسی حساب‌های کاربری را با حذف، قفل کردن یا تغییر اطلاعات اعتباری آن‌ها از بین می‌برند تا از پاسخ به حادثه جلوگیری کنند.

—

T1561

پاک کردن دیسکDisk Wipe

مهاجمان محتوای دیسک‌های ذخیره‌سازی را پاک می‌کنند تا سیستم‌ها را از کار بیندازند و بازیابی را دشوار کنند.

└T1561.001

پاک کردن Master Boot RecordDisk Content Wipe

مهاجمان محتوای دیسک را به صورت کامل پاک می‌کنند تا سیستم را غیرقابل بوت کنند.

└T1561.002

پاک کردن ساختار دیسکDisk Structure Wipe

مهاجمان ساختارهای دیسک مانند MBR و partition table را پاک می‌کنند تا سیستم را از کار بیندازند.

T1565

دستکاری دادهData Manipulation

مهاجمان داده‌های ذخیره شده یا در حال انتقال را تغییر می‌دهند تا یکپارچگی اطلاعات را خدشه‌دار کنند یا تصمیم‌گیری را دچار اختلال کنند.

└T1565.001

دستکاری داده ذخیره شدهStored Data Manipulation

مهاجمان داده‌های ذخیره شده در فایل‌ها، پایگاه داده‌ها و سیستم‌های ذخیره‌سازی را تغییر می‌دهند.

└T1565.002

دستکاری داده در حال انتقالTransmitted Data Manipulation

مهاجمان داده‌های در حال انتقال در شبکه را تغییر می‌دهند تا اطلاعات نادرست به مقصد برسد.

T1583

تهیه زیرساختAcquire Infrastructure

مهاجمان زیرساختی را خریداری، اجاره یا به دست می‌آورند که می‌توانند در طول هدف‌گیری از آن استفاده کنند. این زیرساخت می‌تواند برای میزبانی C2، صفحات فیشینگ، توزیع بدافزار یا سایر مراحل حمله استفاده شود. استفاده از زیرساخت خریداری‌شده به مهاجم کمک می‌کند تا ردپای خود را پنهان کند و شناسایی را دشوارتر سازد.

└T1583.001

دامنه‌هاDomains

مهاجمان دامنه‌هایی را ثبت می‌کنند که می‌توانند در طول عملیات از آن‌ها استفاده کنند. این دامنه‌ها ممکن است برای میزبانی C2، صفحات فیشینگ، توزیع بدافزار یا سایر اهداف استفاده شوند. مهاجمان اغلب دامنه‌هایی را انتخاب می‌کنند که شبیه دامنه‌های قانونی هستند (typosquatting) یا از دامنه‌های منقضی‌شده با تاریخچه خوب استفاده می‌کنند.

└T1583.002

سرور DNSDNS Server

مهاجمان سرورهای DNS را برای استفاده در عملیات تهیه می‌کنند. سرورهای DNS اختصاصی به مهاجم اجازه می‌دهند زیرساخت C2 را مدیریت کند، ترافیک را هدایت کند و از تکنیک‌هایی مانند Fast Flux استفاده کند. این رویکرد انعطاف‌پذیری بیشتری در مدیریت زیرساخت مهاجم فراهم می‌کند.

└T1583.003

سرور مجازی خصوصیVirtual Private Server

مهاجمان سرورهای مجازی خصوصی (VPS) را از ارائه‌دهندگان ابری اجاره می‌کنند. VPS ها به مهاجم اجازه می‌دهند زیرساخت C2 را با هزینه کم و ناشناس بودن نسبی راه‌اندازی کند. مهاجمان اغلب از ارائه‌دهندگانی استفاده می‌کنند که احراز هویت ضعیفی دارند یا پرداخت با ارز دیجیتال را می‌پذیرند.

└T1583.004

سرورServer

مهاجمان سرورهای فیزیکی یا مجازی را برای استفاده در عملیات خریداری یا اجاره می‌کنند. این سرورها ممکن است برای میزبانی C2، ذخیره داده‌های سرقت‌شده، توزیع بدافزار یا سایر اهداف استفاده شوند. مهاجمان اغلب از سرویس‌های hosting که احراز هویت ضعیف دارند استفاده می‌کنند.

└T1583.005

بات‌نتBotnet

مهاجمان بات‌نت‌هایی را خریداری یا اجاره می‌کنند که می‌توانند برای حملات DDoS، توزیع اسپم، فیشینگ یا سایر عملیات استفاده شوند. بات‌نت‌ها شبکه‌ای از سیستم‌های آلوده هستند که توسط مهاجم کنترل می‌شوند. استفاده از بات‌نت‌های موجود به مهاجم اجازه می‌دهد عملیات گسترده‌ای را با هزینه کم انجام دهد.

└T1583.006

سرویس‌های وبWeb Services

مهاجمان از سرویس‌های وب قانونی مانند GitHub، Pastebin، Google Drive، Dropbox یا سرویس‌های ابری برای میزبانی C2، ذخیره payload یا استخراج داده استفاده می‌کنند. استفاده از سرویس‌های قانونی به مهاجم کمک می‌کند ترافیک مخرب را در ترافیک عادی پنهان کند.

└T1583.007

سرورلسServerless

مهاجمان از پلتفرم‌های serverless مانند AWS Lambda، Azure Functions یا Google Cloud Functions برای اجرای کد مخرب استفاده می‌کنند. این رویکرد به مهاجم اجازه می‌دهد زیرساخت C2 را بدون نیاز به مدیریت سرور راه‌اندازی کند و از مزایای مقیاس‌پذیری و ناشناس بودن ارائه‌دهندگان ابری بهره ببرد.

└T1583.008

تبلیغات مخربMalvertising

مهاجمان فضای تبلیغاتی را در شبکه‌های تبلیغاتی قانونی خریداری می‌کنند تا کاربران را به محتوای مخرب هدایت کنند. این تبلیغات ممکن است حاوی کد مخرب باشند که به صورت خودکار اجرا می‌شود یا کاربر را به صفحات فیشینگ هدایت کند. Malvertising به مهاجم اجازه می‌دهد طیف گسترده‌ای از کاربران را هدف قرار دهد.

T1657

اخاذی مالیFinancial Theft

مهاجمان از دسترسی به سیستم‌های مالی برای سرقت پول، دارایی‌های دیجیتال یا اطلاعات مالی استفاده می‌کنند.

—