Um novo framework chamado MEvince usa LLMs amarrados a uma representação comportamental estruturada para identificar técnicas MITRE ATT&CK em relatórios de análise de malware, em vez de deixar o modelo associar livremente texto a técnicas por plausibilidade. Avaliado contra 11 baselines em 610 relatórios públicos referenciados pelo próprio MITRE ATT&CK, o método melhorou o F1 de identificação exata em 17,4% sobre a melhor baseline. O diferencial central é rastrear cada atribuição de técnica até o trecho exato do relatório que a sustenta, o que importa diretamente para defensabilidade de conclusões em investigações.
Pesquisadores ligados ao consórcio europeu CYBERGUARD, com participação da autoridade nacional de cibersegurança da Romênia, apresentam o CG-CTI, um pipeline que transforma a saída bruta de um sandbox de malware (CAPEv2) em objetos STIX 2.1 com TTPs e IOCs, cada um rotulado com um grau de confiança calculado a partir de proveniência e corroboração cruzada. Esse rótulo de confiança decide se o indicador pode acionar resposta automática ou se precisa passar por revisão humana antes de ser usado.
Um analista do SANS ISC publicou um script que extrai e normaliza os logs de sessão TTY capturados pelos honeypots DShield, registrando os comandos digitados por atacantes e bots após o login nos sensores. Os dados processados são enviados diariamente a um SIEM central, onde são correlacionados via consultas ES|QL para identificar padrões de ataque recorrentes. Em um exemplo citado, um único hash de sequência de comandos (variantes de edição de crontab) foi associado a mais de 3.130 endereços IP distintos em 90 dias, evidenciando reutilização massiva de scripts de automação maliciosa.
Um novo benchmark, o SCRIPTIOC-BENCH, reúne 634 amostras reais e verificadas manualmente de malware em JavaScript, PowerShell e VBScript para medir a capacidade de LLMs de extrair estaticamente indicadores de comprometimento — URLs, domínios, IPs e artefatos de sistema de arquivos — sem executar o código. O modelo mais forte avaliado atingiu apenas 65,4 de F1, o que mostra que a extração automatizada de IOCs continua não confiável quando os indicadores estão ofuscados ou exigem decodificação, mesmo usando os modelos mais capazes disponíveis.
O DFIR Report detalha a BengalSEO, uma operação criminosa baseada em Rajasthan (Índia) e ativa desde 2015, que combina black hat SEO em larga escala com um sistema de distribuição de tráfego para posicionar páginas maliciosas no topo de buscas por softwares populares. As vítimas são levadas a páginas de isca hospedadas em plataformas legítimas (github.io, pages.dev, readthedocs.io) e, após triagem por CAPTCHA e fingerprinting, recebem o dropper JavaScript MayaBot ou são direcionadas a golpes de suporte técnico por telefone. O relatório é a parte 1 de uma série e traz reconstrução completa da infraestrutura, TTPs mapeados no MITRE ATT&CK e um extenso conjunto de IOCs.