Во фреймворке для описания хакерских атак MITRE ATT&CK завели новую технику T1090.003 (Multi-hop Proxy) после расследования, проведённого нашими экспертами. В общем случае техника состоит в использовании цепочки множественных прокси для того, чтобы скрыть источник вредоносного трафика. А в том конкретном кейсе, который расследовали наши аналитики, малвара использовала технологию NKN (New Kind of Network). Это децентрализованная P2P-сеть на основе блокчейн-протокола.

Разобранный имплант NKAbuse создаёт в сети NKN новый аккаунт и нового мульти-клиента. Это позволяет передавать сообщения через разных клиентов, и таким образом обеспечивать устойчивую связь с C2. Наличие NKN-протокола в сети вашей организации должно быть подсказкой.

Хронология добавления техники в MITRE:
– 4 месяца от запроса до публикации,
– отказ упоминания компании в контрибуторах,
– автора оставили: Eduardo Chavarro Ovalle.

Подробности: https://securelist.com/unveiling-nkabuse/111512/