Tác nhân tấn công ưu tiên kỹ thuật có thể lặp lại
"The article argues that threat actors favor repeatable, scalable attack playbooks over novel techniques, highlighting ClickFix social engineering and living-off-the-land binaries as examples. It cites Microsoft observations that ClickFix accounted for 47% of initial access notifications and Bitdefender data showing 84% of high-severity incidents involved built-in tools, emphasizing that these methods work because they are easy to reuse, not because they are technically sophisticated."
ClickFix và LOLBins làm tăng nguy cơ xâm nhập ban đầu và ẩn mình sau khi vào được hệ thống; không cần khai thác lỗ hổng phức tạp nên khó chặn chỉ bằng chữ ký.
Tăng rủi ro gián đoạn vận hành, rò rỉ dữ liệu và tấn công ransomware; doanh nghiệp cần đầu tư thêm vào giám sát, đào tạo người dùng và quản lý bản vá.
Bài viết cho rằng nhiều nhóm tấn công không tìm kiếm phương thức mới, mà ưu tiên các playbook có thể tái sử dụng và mở rộng quy mô. Ví dụ nổi bật là ClickFix, một kỹ thuật social engineering yêu cầu nạn nhân tự sao chép lệnh vào clipboard và chạy trong terminal. Theo quan sát của Microsoft, ClickFix chiếm 47% các thông báo initial access trong năm trước.
Ở giai đoạn sau xâm nhập, xu hướng tương tự xuất hiện với living-off-the-land binaries (LOLBins). Dữ liệu của Bitdefender trên 700.000 sự cố cho thấy 84% các sự cố mức độ nghiêm trọng cao có liên quan đến các công cụ tích hợp sẵn trên máy, thay vì mã độc mới được cài đặt. Điều này cho thấy kẻ tấn công tận dụng chính công cụ quản trị hợp pháp để giảm dấu vết và tăng khả năng lặp lại.
Về mặt phòng thủ, doanh nghiệp nên ưu tiên giám sát hành vi người dùng, kiểm soát việc thực thi terminal/PowerShell, rà soát CVE trên thiết bị internet-facing, và tăng tốc vá lỗi cho các lỗ hổng có remote code execution và không cần xác thực. Ngoài ra, cần theo dõi việc sử dụng built-in tools bất thường để phát hiện sớm chuỗi tấn công.