Un référentiel devenu incontournable

Le framework MITRE ATT&CK (Adversarial Tactics, Techniques and Common Knowledge) est une base de connaissances maintenue par l'organisme américain MITRE. Il décrit de manière structurée les tactiques, techniques et procédures (TTP) réellement observées lors d'attaques informatiques.

Le référentiel est organisé en tactiques (les grandes étapes d'une attaque : accès initial, exécution, persistance, élévation de privilèges, exfiltration…) et en techniques identifiées par un code unique. Par exemple :

• T1055 — Process Injection : injection de code malveillant dans un processus légitime pour échapper à la détection ;
• T1027 — Obfuscation : dissimulation du code malveillant pour contourner les antivirus ;
• T1566 — Phishing : technique d'accès initial la plus répandue ;
• T1486 — Data Encrypted for Impact : chiffrement des données, signature typique des rançongiciels.

La version 17 du framework (avril 2025) compte désormais plus de 877 logiciels malveillants référencés, 170 groupes d'attaquants et 50 campagnes documentées, avec notamment l'ajout de la plateforme ESXi pour les environnements virtualisés.

Mon analyse

ATT&CK est le point de départ idéal pour ma veille sur les techniques des malwares : chaque technique y est documentée avec des exemples concrets d'utilisation par des groupes réels, des moyens de détection et des mesures de mitigation. Pour un développeur, c'est aussi une excellente source pour comprendre comment les attaquants exploitent les applications et concevoir des logiciels plus résistants (validation des entrées, moindre privilège, journalisation).