MITRE ATT&CK v20: nuove campagne ICS, malware per PLC e rilevamento OT

MITRE ha annunciato questa settimana la versione 20 del framework ATT&CK. La notizia è stata riportata da Industrial Cyber il 16 ottobre 2026, e la release è stata descritta da Amy L. Robertson in un post su Medium del team ATT&CK. L'aggiornamento amplia la copertura delle minacce alle infrastrutture critiche, degli attacchi abilitati dall'intelligenza artificiale e dello spionaggio informatico. Questo articolo si basa su quanto riportato da Industrial Cyber; non abbiamo verificato direttamente le pagine di MITRE.

Due nuove campagne ICS

La prima è C0066, "2026 U.S. Water Utilities Attacks". L'attività non è stata attribuita formalmente. Ha raggiunto PLC esposti su Internet in più di 30 enti idrici e di depurazione del Minnesota, escludendo gli operatori dai loro stessi sistemi. Il punto d'ingresso, quindi, è stato l'esposizione diretta dei controllori.

La seconda è C0064, "AI-Assisted Breach of Mexico's Government Infrastructure". La campagna ha attraversato i confini tra IT e OT, si è spostata tra diverse istituzioni governative ed è arrivata a un'azienda idrica municipale.

Nuovo software e nuove tecniche

Tra le novità sul fronte ICS:

• S9046 IOControl: malware attribuito al gruppo CyberAv3ngers (G1027), rivolto a dispositivi IoT e OT basati su Linux, tra cui PLC, HMI e sistemi di gestione del carburante.
• S9045 BACKUPOSINT v9.0 APEX PREDATOR: toolkit Python da 49 moduli generato con l'IA, usato nella violazione in Messico.
• T1701 Command and Scripting Interpreter, con sei sotto-tecniche (PowerShell, Windows Command Shell, Unix Shell, Visual Basic, Python, JavaScript). Sostituisce T0807 e T0853, ora deprecate.
• T0869.001 (DNS) e T0869.002 (protocolli publish/subscribe): command and control nascosto in protocolli già presenti nelle reti industriali.
• M1061 Limit Software/Package Installation: misura per impedire l'installazione di software non autorizzato sugli asset ICS.

Il lato enterprise e l'IA

Sul versante enterprise compaiono tecniche dedicate a prompt injection, esfiltrazione di dati assistita da IA, avvelenamento dei risultati dell'IA e attacchi contro le difese basate su IA. È un segnale che i sistemi di IA sono ormai considerati sia strumento sia bersaglio.

Rilevamento più consapevole del contesto

Per chi si occupa di difesa, il cambiamento più interessante è nel rilevamento. Le strategie ICS ora includono contesto di piattaforma e di asset, per esempio workstation di ingegneria e PLC. La release contiene 15 nuove strategie di rilevamento e 38 analytics tra ambienti enterprise e ICS. Quelle industriali sono pensate per filtrare le normali attività di ingegneria e manutenzione, riducendo i falsi positivi.

La release introduce anche NIMBUS MANTICORE (G1059), gruppo di spionaggio legato all'Iran e associato ai Pasdaran, che prende di mira aerospazio, difesa e telecomunicazioni, con 13 software collegati. Dei dettagli su questa parte non disponiamo di altre informazioni.

Perché conta per i team OT

Le nuove sotto-tecniche su scripting, DNS e pub/sub rispecchiano ciò che è comune nelle reti industriali, come la messaggistica in stile MQTT. Questo traffico è legittimo e quindi facile da mimetizzare: un modello di minaccia che lo ignora lascia un punto cieco.

Nel caso del Minnesota, il punto d'ingresso sono stati PLC raggiungibili da Internet.

Cosa fare in pratica

Alcuni passi concreti:

• Verificare se esistono PLC o HMI raggiungibili da Internet e, se possibile, rimuovere l'esposizione o proteggerla con accesso remoto controllato.
• Aggiornare la mappatura dei threat model e delle regole di rilevamento, tenendo conto della deprecazione di T0807 e T0853 a favore di T1701.
• Valutare se monitoraggio DNS e traffico publish/subscribe copre i nuovi scenari di command and control.
• Controllare chi può installare software sugli asset ICS, in linea con M1061.
• Testare le nuove analytics sulle workstation di ingegneria per misurare quanto riducono i falsi positivi nel proprio contesto.

ATT&CK v20 non sostituisce le misure di base, ma offre un linguaggio comune per collegare incidenti reali, rilevamento e priorità di mitigazione. Va ricordato che la campagna del Minnesota resta non attribuita e che i dettagli andrebbero confrontati con la documentazione ufficiale di MITRE.