{"T1105": {"name": "Ingress Tool Transfer", "tactic": "Command and Control", "families": ["000c", "3proxy", "4shared", "5hex", "5z0ba4mkpih", "6b47672c", "aauto", "adaebook", "addlyrics", "adgazelle", "adinstaller", "adject", "admoke", "advload", "agen", "agentb", "agentus", "agentwdcr", "agiala", "agile", "aim_downloader", "akcom", "akely", "aksula", "alphaeon", "alreay", "alvabrig", "amdocssims", "amgfaohk2uf", "ammyy", "amonetize", "amtgimon", "animus", "anprot", "antavmu", "aotoit", "appscience", "appset", "aque", "arhost", "arload", "artel", "aseye", "asianraw", "asparnet", "asym", "atmrod", "atmulator", "atomix", "attack", "ausiv", "autohk", "axbn", "azero", "babonock", "bacalid", "bagif", "bagsu", "bamsupr", "bandios", "bandit", "banload", "banpak", "banspy", "banz", "barys", "baryumka", "baserch", "basine", "batlauncher", "batton", "bccrypt", "beaugrit", "bedefco", "beebone", "begseabug", "belonard", "benban", "berbew", "bero", "bersek", "bertle", "betkrypt", "betload", "bhosta", "bhxu", "bicololo", "bifrose", "binderon", "bindex", "birele", "bitmin", "bitrep", "bitrepeyp", "bkff", "blacked", "blackhole", "blackv", "blacoleref", "blakamba", "blind", "bloored", "blubot", "blueeagle", "blueh", "bluewushu", "bluteal", "bmgfrznl2gfaa", "bmsdus4ufhei", "bnqp", "bnuaaewgb2fb", "boaxxe", "boht", "boopcel", "bototer", "bredavi", "bredo", "bredolab", "bridex", "brobaneup", "broduplo", "broskod", "browsefox", "browserio", "brresmon", "bruhorn", "bsdownloader", "bsvsebni", "bulta", "bumat", "bump_rat", "bundleloader", "bunitu", "burden", "burnwoo", "busky", "bustem", "buterat", "buzy", "bwod", "bybz", "caae34dd", "cachedis", "cafecup", "cakl", "cambot", "canbis", "capredeam", "carrobat", "caxnet", "cbot", "cdvq", "cebot", "ceckno", "cekar", "centrumloader", "ceram", "cerbu", "cfms", "cgmu", "chanitor", "chekafev", "chepdu", "chepro", "chifrax", "chinbo", "chindo", "chir", "chistudi", "chupik", "ciadoor", "cinmus", "citeary", "cjishu", "cleaman", "clhf", "client", "cloudscout", "cloverplus", "cloxer", "cmgfaeflb9e", "cmhfbw9r", "cmy3u", "cnopa", "coantor", "cobaltstrike", "cobra", "coced", "code", "codewall", "codiby", "coinloader", "comei", "comisproc", "comrerop", "conjar", "conju", "convertad", "coolmirage", "cordis", "corpse", "corrempa", "cosratu", "cossta", "covus", "cqst", "crastic", "crcf", "creprote", "crifi", "crime", "crisisht", "crispit", "cromptui", "cryptexe", "cryptoload", "csdimonetize", "cshv", "cslz", "csom", "csrb", "ctqc", "cutwail", "cvky", "cwqw", "cxkh", "cxkj", "cyfin", "cypress", "d0f3570c", "dacic", "dadobra", "dalatar", "dalbot", "dalexis", "dalt", "dapato", "darkcyrene", "darkneuron", "darkvnc", "darsing", "datper", "datpol", "davobevix", "davy", "daws", "dazi", "deau", "defmid", "defsel", "delbar", "delfiles", "delikle", "deliric", "delpem", "denes", "dervec", "deshacop", "desurou", "detplock", "detroie", "devilz", "dexel", "dfay", "diamin", "dico", "dicsor", "dinwod", "dishigy", "diss", "district", "ditertag", "dlassistant", "dlboost", "dlguide", "dlhelper", "dlsponsor", "dluca", "dlzp", "dnscleaner", "dodiw", "dofoil", "dominator", "donise", "donloz", "donn", "doqv", "dorgam", "dorv", "dotto", "doublefantasy", "dovs", "dowanun", "downer", "downexec", "downloadadmin", "downloaderb", "drefir", "drolnux", "droma", "drowor", "dsbot", "dubfot", "duduunion", "dunco", "dungcoi", "dunik", "duon", "dupate", "duphead", "dyamar", "dycler", "dzan", "e13044af", "effbee", "eggnog", "ekidoa", "ekisoli", "ekstak", "elemental", "emathi", "emelent", "emogen", "emotetn", "emudbot", "enestedel", "enistery", "enosch", "eorezo", "epack", "eqtonex", "erbon", "eroyee", "esendi", "esprot", "estapa", "estrella", "eszjuxuan", "etap", "exchanger", "excrevie", "exdek", "exeaqtor", "exksws", "exploder", "expressdownloader", "eyooun", "ezoons", "facemoi", "fadok", "fakeie", "fakeime", "fakeplayer", "famvt", "fareit", "fareitvb", "farsistall", "fasem", "fasong", "fayu", "fbng", "fbsi", "fbtaken", "fdoh", "fearso", "fesber", "fgarb", "figyek", "filetour", "filoskeed", "firseria", "firstinj", "floder", "flowershop", "flusihoc", "flux", "flystudi", "fmgfagns0sge", "foler", "folstart", "food", "forbot", "fosniw", "fourthrem", "foxhiex", "fraudster", "frethoq", "frosparf", "fsysna", "fuerboos", "fusioncore", "fwwy", "gamarue", "gamehack", "gamemodding", "gamsoft", "gamup", "gaofenq", "garrun", "garvi", "gasti", "gate", "gator", "gdsda", "gena", "genasep", "gendal", "gendelfan", "gendwnurl", "genericgb", "generickdz", "genericrxam", "genericrxas", "genericrxat", "genericrxax", "genericrxbu", "genericrxby", "genericrxbz", "genericrxca", "genericrxcd", "genericrxcf", "genericrxcg", "genericrxcl", "genericrxcr", "genericrxcu", "genericrxcv", "genericrxda", "genericrxdm", "genericrxdr", "genericrxdt", "genericrxdw", "genericrxdz", "genericrxea", "genericrxef", "genericrxeg", "genericrxel", "genericrxen", "genericrxeo", "genericrxep", "genericrxeq", "genericrxer", "genericrxet", "genericrxev", "genericrxew", "genericrxfj", "genericrxfo", "genericrxfq", "genericrxft", "genericrxfv", "genericrxfy", "genericrxgb", "genericrxge", "genericrxgf", "genericrxgh", "genericrxgj", "genericrxgk", "genericrxgl", "genericrxgp", "geni", "genmaldow", "genx", "gepys", "geral", "getnow", "ggdoor", "gh0st", "ghoul", "gippers", "giri", "globim", "glox", "goabeny", "gobot", "gofot", "gojdu", "gojdue", "goodpic", "goppel", "gorgon", "gosys", "gotango", "gottle", "gplyra", "gpukj", "graybird", "graz", "guildma", "gupd", "hack_a_tack", "haed", "haknata", "hallaj", "hamaetot", "hamer", "hancitor", "hangup", "haperlock", "happy", "harnig", "hav_rat", "hbov", "headache", "hematite", "heriplor", "hesv", "hexloader", "hexzone", "hg8absxocmcj", "high", "higuniel", "hilevel", "hiloti", "hioles", "hiru", "hkmain", "hlubea", "hmgfa45id4o", "hokobot", "homles", "honk", "hookmoot", "horst", "hostwack", "hotbar", "hotdownloads", "hpfareit", "hpgen", "hqsi", "hrup", "hue", "huhk", "hvom", "hype", "icloader", "iczu", "ident", "idlekms", "idsohtu", "ilomo", "immirat", "imps", "indigorose", "indiloadz", "inegery", "inexsmar", "infector_ng_2004", "inor", "inrogatio", "insebro", "inservice", "installbrain", "installermonetizer", "installflash", "installiq", "installm", "installmate", "installmonetizer", "installmonster", "installpack", "instally", "institution_2004", "instmonster", "ircbot", "ircnite", "irplan", "isnev", "isof", "itva", "jacard", "jackservn", "jaike", "jaiko", "jaiks", "jakuz", "jatif", "jbomi", "jbonblanc", "jevafus", "jhee", "jimmy", "jinda", "jintor", "jobaka", "johnnie", "jord", "jottix", "jps", "jumpta", "jusabli", "jyfi", "jyuqet", "kabymj", "kapucen", "karagany", "karius", "kasinst", "kastenl", "kate", "kates", "kavos", "kazus", "keenm", "kelios", "keydownload", "kheagol", "killnotes", "kirts", "kiser", "klone", "klozet", "kmuaaovs", "koal", "kolab", "kolabc", "komilet", "konus", "koobcafe", "korad", "kovloer", "krachulka", "kraddare", "krament", "kranet", "krdr", "kriskynote", "krolol", "krserv", "krunchy", "kryptstarter", "ksdler", "kuaiba", "kwampirs", "kykymber", "kz4aamkfbloj", "laban", "lamer", "lanxue", "lapka", "laqma", "lazagne", "lebag", "ledruppi", "leivion", "lemoore", "lenwadu", "leopard", "leymo", "liev", "lightmoon", "lightsee", "liimpact", "linkhortry", "lipler", "listicka", "litmus", "liudoor", "liusky", "lixeaqbyzsj", "llac", "lmir", "loader", "lodbak", "lojulox", "lolbot", "lolojan", "loops", "loring", "losabel", "loskad", "lovgate", "lowzones", "loyeetro", "lozer", "lpt8mkfbyfsjgnkb", "ludbaruma", "luder", "ludicrouz", "lulusoftware", "luna", "lunam", "lurk", "lyckriks", "lydra", "machaer", "macoute", "macri", "macrodrop", "maener", "maesorn", "magnat", "magni", "mago", "mahato", "mailcheck", "malkryp", "malushka", "malwar", "mamianune", "manbat", "mantana", "mapsgory", "marocan", "matsnu", "mazben", "mdeclass", "meinhudong", "meinv", "mekotio", "meno", "mensa", "menti", "mepaow", "messiah", "mezzo", "mi0ax8mhb4ji", "miancha", "midia", "midie", "mikey", "mimilove", "minerbat", "minggy", "minimal", "mira", "miragefox", "mirkov", "mkar", "moderate", "mofin", "mofksys", "mogoogwi", "moljec", "molock", "moneyinst", "montp", "moonlight", "morphex", "mosu", "mozla", "mrdec", "mresmon", "msidrop", "msilbot", "msposer", "mufanom", "multidl", "multidropper", "multim", "multiplug", "muma", "mupx", "murka", "murlo", "murofet", "musclecar", "mutant", "mutuodo", "mwpm", "mycop", "mytob", "mywebsearch", "myxah", "nabasa", "naco", "nadrac", "naffy", "nagoot", "nagram", "nakoctb", "nanobot", "naprat", "narcha", "nbcont", "nebuler", "necne", "nemesis", "nemucod", "neoreklami", "neos", "netcat", "netinject", "netpass", "netsphere", "ngrbot", "ngvck", "nilage", "nilaspo", "nion", "nisloder", "nistio", "nitol", "nitter", "niwaa8lfbrj", "nmkfacwya3cg", "noonlight", "nosok", "noupack", "npgi", "nrww", "nsanti", "nscauth", "nussamoc", "nymeria", "nystprac", "oasisminus", "obrypser", "occamy", "oceanlotus", "ocna", "octopus", "offend", "offtoup", "oficla", "oflwr", "olala", "oligo", "omaneat", "omgfamcremci", "oneclickdownloader", "oneinstaller", "onkfa0sahzhg", "opencandy", "opendownloadmanager", "openinstall", "opesup", "orbus", "orcusrat", "oremu", "orsam", "otezinu", "otorunq", "outbreak", "oxynoxy", "oyom", "oztar", "pabin", "pacex", "padmer", "palibu", "pandview", "pantera", "paph", "papras", "passma", "passview", "pastraw", "pasur", "patchload", "patpoopy", "pavica", "pclnt", "pdxbbkgat9ci", "peals", "pef13c", "penzievs", "pepex", "pepm", "perez", "perkesh", "perkiler", "perseus", "petal", "petun", "pfoenic", "pgpsnippet", "phires", "phnu", "phorpiex", "phpain", "pidmecc", "pieshua", "pikabot", "piker", "pincher", "pintu", "pipo", "pirminay", "pitin", "pizchao", "platan", "plimrost", "pliskal", "ploprolo", "plugs", "pluto", "pondfull", "pony", "ponystealer", "pophot", "porex", "potukorp", "povertel", "powerless", "powp", "powstage", "powzip", "poxters", "pramro", "prepscram", "pres", "prex", "primawega", "procgmar", "prosti", "proteus", "pshell", "psloader", "pstinb", "psyme", "psyokym", "pulobe", "puontib", "purgen", "purgory", "pushel", "putabmow", "puwaders", "pwsime", "pykspa", "qdownb", "qjwmonkey", "qmuabwpoobbg", "qqfarmer", "qqmima", "qqten", "quant", "quchispy", "quervar", "quireap", "rabased", "radmin", "ragua", "ranapama", "randrew", "ranna", "ranos", "rapidpass", "rapkill", "rarmal", "rasch", "rastabaf", "rastarby", "ravs", "rebhip", "recex", "reconyc", "redgirl", "redlonam", "redneck", "redosdru", "redyms", "refpron", "refroso", "regsup", "regub", "remas", "remexi", "remoh", "remoteadmin", "remotehack", "remoxec", "renaz", "reposfxg", "resdro", "reset", "resur", "revetrat", "reymbz", "reyptson", "rialega", "ridnu", "rietspoof", "rifbu", "rifdoor", "rimic", "rising", "rmkefdlslaoi", "rodecap", "rofin", "rogan", "rovnix", "rozena", "rozenaa", "ruandmel", "rubat", "rubinurd", "ruby", "ruco", "ructo", "ruho", "rukoma", "rukometa", "rupttass", "ruskill", "ryzerlo", "sadenav", "sadredi", "safebreas", "sagonaire", "sahat", "sakto", "salgorea", "samca", "sankei", "sasfis", "sasquor", "sbdld", "scano", "scar", "scarab", "schoolbus", "sciagnij", "scomma", "scoopy", "scrami", "screenconnect", "scribble", "scriptkd", "sdld", "sdrop", "seed", "selcry", "selltim", "sennoma", "senta", "seodec", "serenity_rat", "seznam", "sfdld", "sfone", "sfuzuan", "shadowhammer", "shakblades", "shaosmine", "sharer", "shaskooth", "sheldor", "shell", "shelma", "shepher", "shipup", "shodi", "shrejh", "shufab", "siho", "silcon", "simda", "simple", "sinique", "sinresby", "sipia", "sisbot", "sisron", "sixer", "sixmuch", "sixxpack", "skeeyah", "skillis", "skorik", "skypespam", "slefdel", "slipafext", "sloddat", "smallhttp", "smalo", "smartapps", "smearpasse", "smee", "sminager", "smuatemisagi", "sneepy", "snobar", "snojan", "snoload", "snorm", "socks", "soft32dl", "softpulse", "sonbokli", "sorcurat", "soul", "specx", "sperolz", "spnr", "squarenet", "ssebot", "staget", "stagol", "startserv", "stegvob", "stercogs", "stimilik", "stocde", "strat", "strictorcrtd", "subroate", "suite", "suloc", "suviapen", "swizzor", "swog", "swotter", "syscon", "sysdrop", "sysn", "systex", "sysupdate", "sytro", "taily", "tainp", "takbum", "talent", "talmad", "tanske", "tar4rkdi", "taranis", "tarayt", "tarctox", "tarifarch", "tartober", "tbma", "tcdrop", "teambot", "tear", "tedroo", "temcac", "tempedreve", "temr", "tenavt", "tenga", "terkcop", "termite", "tftpd", "tgrandongc", "therat", "thoper", "tibs", "tierry", "tikoog", "tilken", "tinba", "tinclex", "tinydl", "tinyloader", "tipp", "tirrip", "titirez", "tivmonk", "tmgfayxalbaj", "tnega", "toauta", "tobor", "toga", "togapy", "tomegun", "torjok", "torr", "tosthin", "totbrick", "tougle", "tovus", "trabin", "tracur", "trafog", "trick", "trickster", "trilon", "trioris", "trojna", "troldesh", "tron", "troxa", "trpctrooper", "tukrina", "tulong", "tvido", "tyhos", "typic", "tyuimoi", "tzabf", "ubar", "ubibila", "udslee", "ufraie", "uiwaowr6xsaje", "uk_splitter", "ukpa", "ulise", "uloader", "umbald", "umbra", "umgfxgkazyg", "umqabaxnjogc", "unwaders", "upadter", "upatre", "updater", "upkm", "urcs", "urelas", "ursnifdropper", "ursu", "ursumdt", "uruasy", "utoti", "uwamson", "uztub", "uztuby", "vakcune", "vake", "valcaryx", "vanilloader", "vapsup", "vbcheman", "vbdrop", "vbmod", "vedpoz", "vehidis", "veilev", "vemptik", "venik", "verecno", "vibem", "vidro", "vigorf", "viking", "vimditator", "vindor", "virgilio", "virtum", "virtumod", "virut", "vitruvian", "vittaliaent", "vixup", "vkdj", "vkont", "vmjfbex4hpjj", "vobfus", "vools", "vopackage", "vopak", "votchsys", "vrbrothers", "vtflooder", "vucha", "wabot", "wakme", "walerlop", "wansrog", "wapomi", "warezov", "wavipeg", "webdown", "webhat", "wecod", "weenloc", "weiduan", "wellmess", "wemosis", "wenper", "werly", "wews", "whiteice", "widgi", "wigon", "wiliky", "windang", "windapp", "winemm", "winiga", "winload", "winloadsda", "winner", "winsecsrv", "wintrim", "winwrapper", "wirzemro", "wizrem", "wmqarhe5p8fbt", "wombat", "woozlist", "woripecs", "wrar", "wraut", "writos", "wsgame", "wuca", "wuji", "wyhymyz", "xanfpezes", "xcomp", "xdisccorp", "xiaoba", "xiazai", "xihet", "xiquitir", "xizfawwyz0ab", "xmgfbs8lpqoib", "xnhmeb", "xorala", "xorpix", "xpun", "xpyn", "xtrat", "xundlldl", "xxybss", "xxybuj", "xxybvi", "xxybwe", "xxybyu", "xxybzx", "xxyeut", "xxyfhz", "xxyheo", "xylauncher", "xyligan", "yakbeex", "yakes", "yantai", "yobdam", "yobrowser", "yolov", "youxun", "yuri", "za0au42rofm", "zacom", "zanoza", "zapinit", "zard", "zaxar", "zbiw", "zboter", "zdengo", "zdowbot", "zebrocy", "zeleffo", "zenfly", "zesibund", "zilix", "zjaisino", "zjek", "zlob", "zloyfly", "zmem", "zoldon", "zombam", "zonebac", "zorex", "zudochka", "zumanek", "zvrek", "zvuzona", "zxor", "zxrloader", "zy0baazvyqni", "zygug", "zzinfor"]}, "T1055": {"name": "Process Injection", "tactic": "Defense Evasion", "families": ["000c", "0y0auaszpblb", "0y1a48lx2yib", "1fb728f", "5hex", "a8p9eklc", "a_311_death", "activator", "adject", "adkdllwrapper", "admoke", "aenjaris", "agen", "agentus", "agentwdcr", "agile", "aim_downloader", "akely", "alphaeon", "alreay", "alyak", "amber", "amdocssims", "amgfvjgvdoaan", "amiboide", "apocalypse_rat", "aque", "arcdoor", "arhost", "armadillo", "asparnet", "atom", "attack", "autohk", "axbn", "azero", "bagif", "bagsu", "bancteian", "bandios", "bandit", "bandook", "bank", "banpak", "banspy", "banz", "baryumka", "baserch", "basine", "bayrob", "bccrypt", "be3auestydmi", "beaugrit", "bedep", "begseabug", "belonard", "berbew", "bero", "bestafera", "betabot", "betkrypt", "betload", "bicololo", "bifrose", "binder", "birele", "bitrep", "blacked", "blackenergy", "blackv", "blacoleref", "blakamba", "blind", "blubot", "blueeagle", "blueh", "bluewushu", "bluteal", "bmgfrznl2gfaa", "bmkfxasqf6ki", "bmsdus4ufhei", "bnuaaewgb2fb", "boaxxe", "bobax", "boht", "bolik", "boopcel", "bozok", "bredavi", "bredo", "bredolab", "broduplo", "brresmon", "bruhorn", "bsdownloader", "bsvsebni", "bsymem", "bulta", "bunitu", "busky", "bustem", "buterat", "buzus", "buzy", "bwod", "bybz", "bypass", "bypassuac", "bzub", "cafecup", "cakl", "cambot", "canbis", "capredeam", "carberp", "cardspy", "cardtool", "cassiopeia", "cbot", "cdvq", "cebot", "ceckno", "cekar", "centrumloader", "cerbu", "cgmu", "chanitor", "chekafev", "chepdu", "chepro", "chifrax", "chistudi", "chupik", "cia", "cidox", "citeary", "ciyaamgnrsg", "cjishu", "cleaman", "clhf", "client", "clipspy", "cloverplus", "cloxer", "cmhfbw9r", "cmy3u", "cnopa", "coantor", "cobalt", "cobra", "codewall", "codiby", "coinloader", "comei", "comisproc", "comproc", "comrerop", "confuser", "conjar", "coolmirage", "copperturtle", "cordis", "corrempa", "cosmicduke", "cosmu", "cosratu", "cossta", "crastic", "crcf", "creprote", "crifi", "crime", "crisisht", "crispit", "cslz", "csom", "csrb", "ctqc", "cutwail", "cwqw", "cybergate", "cycbot", "cyfin", "cyn", "cypress", "d0f3570c", "dacic", "dadobra", "dalbot", "dalexis", "dapato", "darkkomet", "darkmoon", "darkneuron", "darkvnc", "datper", "davobevix", "dazi", "defmid", "delbar", "delf", "delfidelfi", "delfiles", "delikle", "deliric", "delpem", "delphi", "delphinjector", "denes", "dervec", "deshacop", "desktop", "desurou", "detnat", "detplock", "detroie", "dico", "dishigy", "diss", "dllinject", "dodiw", "dominator", "donut", "doqv", "dorifel", "dorv", "dotnet", "dotto", "downer", "downloaderb", "drefir", "droma", "drooptroop", "drowor", "dubfot", "dunco", "dupate", "duphead", "dyamar", "dycler", "dynamer", "e13044af", "eggnog", "ei0frdaui", "eicardemo", "ekidoa", "ekisoli", "elemental", "emelent", "emgfamt7gjgi", "emmfaeuirscb", "emogen", "emotetn", "enestedel", "enigma", "enigmaprotector", "enistery", "enosch", "epack", "eqtonex", "erbon", "eroyee", "esprot", "estapa", "eszjuxuan", "etap", "excrevie", "exdek", "exeaqtor", "exploder", "explorerhijack", "eyestye", "ezoons", "facemoi", "fadok", "fakeie", "fakeime", "familykeylogger", "famvt", "farfli", "farsistall", "fasem", "fasong", "fayu", "fbsi", "fbtaken", "fcb569f", "fdoh", "fearso", "fesber", "fgarb", "figyek", "filetour", "filoskeed", "firstinj", "flawedammyy", "flinject", "floder", "flowershop", "flusihoc", "flystudi", "fmgfagns0sge", "fnwabyxmbkm", "forbot", "fourthrem", "foxhiex", "fraudster", "fsysna", "fwwy", "fz4aaueo2jhi", "gamup", "gasti", "gatak", "gemius", "gena", "genasep", "gendal", "genericgb", "generickdz", "genericrxaa", "genericrxaf", "genericrxal", "genericrxam", "genericrxaq", "genericrxas", "genericrxat", "genericrxax", "genericrxaz", "genericrxbg", "genericrxbm", "genericrxbp", "genericrxbu", "genericrxbw", "genericrxbx", "genericrxby", "genericrxbz", "genericrxca", "genericrxcd", "genericrxce", "genericrxcf", "genericrxcg", "genericrxch", "genericrxci", "genericrxck", "genericrxcl", "genericrxcp", "genericrxcr", "genericrxcs", "genericrxcu", "genericrxcv", "genericrxcw", "genericrxcy", "genericrxda", "genericrxdc", "genericrxde", "genericrxdf", "genericrxdi", "genericrxdm", "genericrxdr", "genericrxdt", "genericrxdw", "genericrxdx", "genericrxdz", "genericrxea", "genericrxeb", "genericrxef", "genericrxeg", "genericrxel", "genericrxen", "genericrxeo", "genericrxep", "genericrxeq", "genericrxer", "genericrxet", "genericrxev", "genericrxew", "genericrxfe", "genericrxfj", "genericrxfo", "genericrxfp", "genericrxfq", "genericrxfs", "genericrxft", "genericrxfu", "genericrxfv", "genericrxfy", "genericrxgb", "genericrxge", "genericrxgf", "genericrxgh", "genericrxgj", "genericrxgk", "genericrxgl", "genericrxgm", "genericrxgp", "genericrxgq", "genericrxgr", "geni", "gentromal", "genx", "gepys", "geral", "ghost", "ghoul", "gippers", "glox", "goabeny", "gofot", "gojdu", "gojdue", "golem", "goodpic", "goppel", "gottle", "goznym", "graybird", "guildma", "hafen", "hallaj", "hamaetot", "haperlock", "happy", "harnig", "hbov", "hc4cakjs5bhi", "headache", "hesv", "hexloader", "hexzone", "hg8absxocmcj", "high", "higuniel", "hilevel", "hiloti", "hiru", "hkautoit", "hkmain", "hlubea", "hmgfa45id4o", "hokobot", "homles", "horst", "hostwack", "hpgen", "hploki", "hptrickbot", "hrup", "httpbot", "huhk", "hupigon", "hvnc", "hvom", "hworld", "hype", "icedid", "ident", "idsohtu", "ilomo", "immirat", "imqaaem1agai", "indigorose", "inegery", "inexsmar", "infinitetear", "injeber", "injectorlib", "inservice", "ipamor", "irplan", "isnev", "isof", "itva", "jackservn", "jaike", "jaiko", "jaiks", "jatif", "jbomi", "jhee", "jimmy", "jintor", "jnkfasgyvyo", "jo0br8hglsii", "jobaka", "jord", "jottix", "jumpta", "jyfi", "jyuqet", "kapucen", "karamanak", "karius", "kasinst", "kate", "kazus", "kelios", "keydownload", "killnotes", "kirts", "kjwar5ju8ibgb", "klone", "kmuaaovs", "koal", "kolabc", "konus", "koobcafe", "koutodoor", "kovloer", "kraddare", "kraken", "krament", "krdr", "krilog", "kriskynote", "krolol", "krserv", "krunchy", "kryptstarter", "ksdler", "kuluoz", "kykymber", "laban", "lapka", "lebag", "ledruppi", "leivion", "lenwadu", "leopard", "leymo", "liev", "lightmoon", "lightsee", "liimpact", "lipler", "listicka", "lixeaqbyzsj", "ljoiner", "llac", "lmkfrhivlcfba", "loader", "lockpos", "lodbak", "lojulox", "lolbot", "lolojan", "loskad", "lsslogger", "luder", "ludicrouz", "luna", "lunam", "lyckriks", "lydra", "machaer", "macoute", "macri", "maesorn", "magania", "magistrcorr", "magnat", "magni", "mago", "mahato", "mailcheck", "malushka", "malwares", "malxmr", "mamianune", "manbat", "mansabo", "mantana", "maplestory", "marocan", "matsnu", "mazben", "mdeclass", "mdrop", "meinhudong", "mensa", "mepaow", "mezzo", "miancha", "midia", "mimilove", "minebicoin", "minerbot", "minggy", "mirkov", "mkar", "mlwr", "mmnfbgfpueki", "mmsfrmqm16ci", "mmxmr", "moderate", "mofin", "molebox", "moleboxultra", "moljec", "molock", "montp", "moonlight", "moonpie", "morphex", "morphine", "mosu", "mosucker", "mozla", "mrdec", "mresmon", "msilperseus", "msposer", "mudrop", "mufanom", "multibanker", "multidropper", "multiinjector", "multim", "murlo", "murofet", "mutant", "mutuodo", "mwpm", "mycop", "myxah", "mz0a4gxuisb", "nabasa", "naco", "nadrac", "nagoot", "nakoctb", "napolar", "naprat", "narcha", "nbcont", "nebuler", "necne", "nemesis", "neos", "netinject", "netshrink", "netwiredrc", "neurevt", "newheur", "ngrbot", "ngvck", "nilage", "nisloder", "niwaa8lfbrj", "nmkfacwya3cg", "nmkfxmdtnmoi", "noobyprotect", "noonlight", "nosok", "npack", "nrww", "nsanti", "nscauth", "nymaim", "nymeria", "nystprac", "obsidium", "ocna", "octopus", "offend", "offtoup", "oficla", "olala", "olgames", "oligo", "omaneat", "omgfamcremci", "onkfa0sahzhg", "opesup", "orbus", "orsam", "otezinu", "ou0bsubcbkhb", "outbreak", "oztar", "pacex", "palevo", "palibu", "pandex", "pandview", "pantera", "paph", "papras", "passma", "patchload", "patpoopy", "pavica", "pbot", "pdxbbkgat9ci", "peals", "peepviewer", "pef13c", "pepm", "perkesh", "perkiler", "perseus", "pespin", "petun", "pfoenic", "pgpsnippet", "pieshua", "pikabot", "piker", "pincher", "pintu", "pizchao", "pjtbinder", "pjzab0jsupjb", "plead", "plimrost", "ploprolo", "plugx", "poison", "polypatch", "pophot", "possiblemalware", "povertel", "powerless", "powzip", "pramro", "pres", "primawega", "procpatcher", "prorat", "prosti", "proxygate", "psloader", "pstinb", "pswdump", "psyokym", "purgen", "purityscan", "pushel", "putabmow", "puwaders", "pwsime", "pwszbot", "qadars", "qmlfrt0j91kid", "qmuabwpoobbg", "qqfarmassist", "qqfarmer", "qqmima", "qqpass", "qqrob", "qqten", "quant", "quchispy", "quervar", "quireap", "rabased", "ramnif", "ramnit", "ranapama", "randrew", "ranos", "rantest", "rapkill", "rarmal", "rastabaf", "rastarby", "ravs", "rebhip", "recex", "redlonam", "redneck", "redosdru", "refpron", "refroso", "regub", "remas", "remoh", "renaz", "resdro", "reset", "resur", "revetrat", "ribaj", "rietspoof", "rifbu", "rifdoor", "rimic", "rising", "rmkef9zs0zhi", "rmkefbclnjpi", "rmkefdlslaoi", "roboinstall", "rodecap", "rofin", "rogan", "rozena", "ruandmel", "rubat", "rubinurd", "ruby", "ruco", "ructo", "ruho", "rukoma", "rukometa", "rupttass", "ruskill", "rustock", "ryzerlo", "rz0a4oaeuqdi", "rz0auircb0di", "rzwaagpbkfii", "sadenav", "sagonaire", "sahat", "sality", "samca", "sasquor", "scano", "scar", "scarsi", "scramupx", "sdld", "selltim", "seodec", "seznam", "sfdld", "shakblades", "shaosmine", "shaskooth", "sheldor", "shellcodef", "shelma", "shepher", "shiotob", "shrejh", "shufab", "shutdowner", "silcon", "silentinstall", "simbot", "simple", "sinowal", "sinresby", "sipia", "sisbot", "sivis", "sixer", "sixmuch", "sixxpack", "skillis", "skorik", "skypespam", "slipafext", "smalo", "smearpasse", "smee", "sminager", "smokeloader", "smuatemisagi", "snarasite", "snare", "snobar", "snoload", "snorm", "soldier", "sorcurat", "soul", "sperolz", "sphinx", "spnr", "spyeye", "spywork", "squarenet", "ssebot", "stagol", "startserv", "steam", "stegvob", "stercogs", "stimilik", "stocde", "stormattack", "strictorcrtd", "suite", "suloc", "swisyn", "swotter", "swrort", "syscon", "sysdrop", "systex", "sz4aaw", "taily", "tainp", "takbum", "talent", "tanske", "tar4rkdi", "tarayt", "tarctox", "tarifarch", "tbma", "temcac", "temonde", "tempedreve", "temr", "tenavt", "terkcop", "termite", "therat", "thoper", "tibs", "tiggre", "tilken", "tinba", "tinukebot", "tinyloader", "tipp", "tirrip", "titirez", "tnega", "toauta", "toga", "togapy", "torjok", "torr", "tougle", "tovus", "trabin", "trafog", "trainer", "trickbot", "trjgen", "trojanbanker", "tron", "trpctrooper", "tulong", "turkojan", "tvido", "tyhos", "typic", "tzabf", "ubibila", "ufraie", "uiwao0sam", "uiwaowr6xsaje", "ukpa", "uloader", "umbald", "umbra", "umgfxgkazyg", "umqabaxnjogc", "upatre", "upkm", "ursnif", "ursu", "ursumdt", "utoti", "uwamson", "uztub", "uztuby", "vake", "valcaryx", "vanilloader", "vapsup", "vbcheman", "vedpoz", "vehidis", "veilev", "vemptik", "venik", "verecno", "vesenlosow", "vibem", "vidro", "vigorf", "vindor", "virlock", "virtu", "virtum", "virtumod", "virut", "vitro", "vkdj", "vkont", "vmjfbex4hpjj", "vmpbad", "vmprotbad", "vools", "vopackage", "vopak", "vucha", "vundo", "vz2au4dpceii", "wakme", "waldek", "webdial", "webhat", "webisida", "wecod", "weenloc", "weiduan", "wemosis", "wenper", "werly", "wi0abyrjybki", "wigon", "wiliky", "windapp", "winemm", "winload", "winner", "winsecsrv", "wintrim", "wirzemro", "wisbipuf", "wizrem", "wmqarhe5p8fbt", "wombat", "wraut", "writos", "wuca", "wuji", "wyhymyz", "xanfpezes", "xdisccorp", "xiaoba", "xiaobaminer", "xiazai", "xihet", "xiquitir", "xizfawwyz0ab", "xmgfa0ysjgki", "xmgfbs8lpqoib", "xmrminer", "xnhmeb", "xorala", "xorpix", "xpaj", "xpun", "xpyn", "xtrat", "xxybss", "xxybuj", "xxybvi", "xxybwe", "xxybyu", "xxybzx", "xxyfhz", "xxyheo", "xylauncher", "xyligan", "yakbeex", "yantai", "ymkfawdgfnmi", "yobdam", "younglotus", "yy0aueeqipni", "yywaa08jovdg", "za0au42rofm", "zacom", "zapinit", "zard", "zaxar", "zbiw", "zboter", "zeleffo", "zesibund", "zjaisino", "zloyfly", "zmem", "zoldon", "zombam", "zorex", "zpevdo", "zs0bbeypkrh", "zumanek", "zusy", "zvuzona", "zxrloader", "zy0baazvyqni", "zygug", "zzinfor", "candiru"]}, "T1547.001": {"name": "Boot or Logon Autostart Execution: Registry Run Keys / Startup Folder", "tactic": "Persistence", "families": ["000c", "5hex", "acid_drop", "addrop", "adinstaller", "adject", "adkdllwrapper", "admedia", "admoke", "advancedpccare", "aenjaris", "aero", "agentb", "agentus", "agentwdcr", "agiala", "agile", "aim_downloader", "ainslot", "akcom", "akely", "aksula", "alinaos", "alot", "alphaeon", "alreay", "amdocssims", "amonetize", "amtgimon", "animus", "anprot", "aotoit", "apost", "appster", "aque", "archsms", "arhost", "aseye", "asianraw", "asktoolbar", "asparnet", "aspxor", "asym", "atmrod", "atmulator", "atomix", "atraps", "ausiv", "auslogics", "autofixerpro", "autohit", "autohk", "autoit", "autorunerent", "autoruns", "axbn", "ayolog", "azero", "babonock", "bacalid", "bagif", "bagsu", "bamsupr", "bandios", "bandit", "banload", "banpak", "banspy", "banz", "barys", "baryumka", "baserch", "basine", "batton", "bccrypt", "beaugrit", "bedefco", "begseabug", "belonard", "benban", "benjamin", "berbew", "bero", "bertle", "bestafera", "betkrypt", "betload", "bhosta", "bhxu", "bicololo", "bifrose", "binderon", "bindex", "birele", "bitrep", "bitrepeyp", "bkff", "blacked", "blackv", "blacoleref", "bladabindi", "blakamba", "blind", "blubot", "blueeagle", "blueh", "bluewushu", "bluteal", "bnqp", "boaxxe", "boht", "boopcel", "brambul", "bredavi", "bredo", "bredolab", "bridex", "broduplo", "brosafe", "broskod", "browserio", "brresmon", "bruhorn", "bsvsebni", "bsymem", "bulta", "bumat", "bunitu", "burden", "burnwoo", "busky", "bustem", "buterat", "buzy", "bwod", "bybz", "bzub", "cachedis", "cafecup", "cakl", "cambot", "canbis", "capredeam", "carambisdu", "carrobat", "casbaneiro", "cassiopeia", "caxnet", "cbot", "cdvq", "cebot", "ceckno", "cekar", "celesty", "ceram", "cerbu", "cfms", "cgmu", "chapak", "chekafev", "chepdu", "chepro", "chifrax", "chinbo", "chir", "chistudi", "chupik", "cinmus", "citeary", "cjishu", "cleaman", "clickshell", "cloudguard", "cloverplus", "cloxer", "cmy3u", "cnopa", "cntads", "coantor", "cobra", "coced", "codecpa", "codewall", "codiby", "coins", "coinstealer", "comei", "comisproc", "comrerop", "conjar", "conju", "coolmirage", "cordis", "corpse", "corrempa", "cosratu", "cossta", "covus", "cqst", "crastic", "crcf", "creprote", "crifi", "crime", "crisisht", "crispit", "cromptui", "crowti", "cryptolocker", "csdimonetize", "cshv", "cslz", "csom", "csrb", "ctqc", "cuegoe", "cvky", "cwqw", "cxkh", "cxkj", "cybergate", "cyfin", "cypress", "d0f3570c", "dacic", "dadobra", "dalatar", "dalbot", "dalexis", "dalt", "dapato", "darkcyrene", "darkkomet", "darkneuron", "darsing", "datper", "datpol", "daum", "davobevix", "davy", "daws", "dazi", "deau", "deceptpcclean", "defmid", "defsel", "delbar", "delf", "delfiles", "delikle", "deliric", "delpem", "denes", "dervec", "deshacop", "desurou", "detnat", "detplock", "detroie", "devilz", "dexel", "dfay", "dial", "diamin", "dico", "dicsor", "dinwod", "disfa", "dishigy", "diss", "district", "ditertag", "dlassistant", "dlguide", "dlhelper", "dluca", "dlzp", "dodiw", "dofoil", "dominator", "donise", "donn", "doqv", "dorgam", "dorifel", "dorv", "dotdo", "dotto", "dowanun", "downloaderb", "downloadhelper", "downloadshield", "drefir", "driverassist", "driverpack", "drivertalent", "driverupdate", "drolnux", "droma", "drowor", "dubfot", "duduunion", "dunco", "dungcoi", "dunik", "duon", "dupate", "duphead", "dyamar", "dycler", "dynamer", "dzan", "effbee", "eggnog", "ekidoa", "ekisoli", "ekstak", "elemental", "emathi", "emelent", "emogen", "emotet", "enestedel", "enistery", "enosch", "eorezo", "epack", "epicscale", "eqtonex", "erbon", "eroyee", "esendi", "esprot", "estapa", "estrella", "eszjuxuan", "etap", "excrevie", "exdek", "exeaqtor", "exksws", "exploder", "extinstaller", "ezoons", "facemoi", "fadok", "fakedos", "fakeie", "fakeime", "fakeoff", "fakerean", "fakesmoke", "faketool", "famvt", "fareit", "farfli", "farsistall", "fasem", "fasong", "fayu", "fbng", "fbsi", "fbtaken", "fdoh", "fearless_key_spy", "fearless_lite", "fearso", "fesber", "fgarb", "figyek", "filetour", "filoskeed", "firseria", "firstinj", "floder", "flowershop", "flusihoc", "flux", "flystudi", "flystudio", "foler", "folstart", "food", "forbot", "fosniw", "fourthrem", "foxhiex", "fraudster", "frethoq", "frosparf", "fuerboos", "fusioncore", "fwwy", "gamania", "gamarue", "gamebox", "gamup", "gandcrypt", "ganelp", "gaofenq", "garrun", "garvi", "gasti", "gdsda", "gena", "genasep", "gendal", "gendelfan", "genericgb", "generickdz", "genericrxaa", "genericrxaf", "genericrxal", "genericrxam", "genericrxaq", "genericrxas", "genericrxau", "genericrxbg", "genericrxbm", "genericrxbw", "genericrxby", "genericrxca", "genericrxce", "genericrxcf", "genericrxcg", "genericrxci", "genericrxck", "genericrxcl", "genericrxcp", "genericrxcr", "genericrxcu", "genericrxcv", "genericrxcw", "genericrxcy", "genericrxda", "genericrxde", "genericrxdf", "genericrxdm", "genericrxdr", "genericrxdt", "genericrxdw", "genericrxdx", "genericrxdz", "genericrxea", "genericrxeb", "genericrxef", "genericrxeg", "genericrxen", "genericrxeq", "genericrxev", "genericrxfe", "genericrxfj", "genericrxfo", "genericrxfq", "genericrxft", "genericrxfv", "genericrxfy", "genericrxge", "genericrxgh", "genericrxgj", "genericrxgl", "genericrxgm", "genericrxgp", "genkryptik", "genx", "gepys", "geral", "ggdoor", "ghoul", "gippers", "giri", "globim", "glox", "goabeny", "gobot", "gofot", "gojdu", "gojdue", "goodpic", "goppel", "gosys", "gottle", "gplyra", "gpukj", "graybird", "graz", "gruel", "gt32supportgeeks", "guagua", "hack_a_tack", "haed", "hafen", "haknata", "hallaj", "hamaetot", "hamer", "hamweq", "hangup", "haperlock", "happy", "harnig", "hav_rat", "hawkeyekeylogger", "hbov", "headache", "heriplor", "hesv", "hexloader", "hexzone", "hiddentear", "high", "higuniel", "hilevel", "hiloti", "hioles", "hiru", "hkmain", "hlubea", "hmgfa45id4o", "hoax", "hokobot", "homles", "honk", "hookmoot", "horst", "hostwack", "hpdefender", "hpgen", "hqsi", "hrup", "httpbot", "hue", "huhk", "hvom", "hworld", "hydracrypt", "hype", "icecold_reloaded", "icloader", "iczu", "ident", "idlebuddy", "idsohtu", "ilomo", "imaut", "imps", "inbox", "indigorose", "inegery", "infector_ng_2004", "inor", "inrogatio", "insebro", "inservice", "installcore", "installpack", "institution_2004", "ipamor", "ircbot", "ircbrute", "ircnite", "irplan", "isnev", "isof", "istartsurf", "istbar", "itorrent", "itva", "jackservn", "jaike", "jaiko", "jaiks", "jakuz", "jatif", "jbomi", "jbonblanc", "jeefo", "jenxcus", "jevafus", "jhee", "jigsaw", "jigsawlocker", "jimmy", "jinda", "jintor", "jobaka", "johnnie", "jord", "jottix", "jps", "jps_virus_maker", "jumpta", "jusabli", "jyfi", "jyuqet", "kabymj", "kapucen", "karius", "kasidet", "kasinst", "kastenl", "kate", "kavos", "kazus", "keenm", "kelios", "keyer", "khalesi", "kheagol", "killnotes", "kirts", "kiser", "klez", "klone", "klozet", "koal", "kolab", "komilet", "konus", "koobcafe", "koobface", "korad", "koutodoor", "kovloer", "kovter", "krachulka", "kraddare", "krament", "kranet", "krbanker", "krdr", "kriskynote", "krolol", "krserv", "krunchy", "ksdler", "kuaizip", "kuluoz", "kuzitui", "kykymber", "laban", "lamer", "lanfiltrator", "lanxue", "lapka", "lebag", "ledruppi", "leivion", "lemoore", "lenwadu", "leopard", "lethic", "leymo", "liev", "lightmoon", "lightsee", "liimpact", "linkhortry", "linkury", "lipler", "listicka", "litmus", "liusky", "llac", "lmir", "loadmoney", "lodbak", "lojulox", "lokibot", "lolbot", "lolojan", "loops", "loring", "losabel", "loskad", "lost_door", "lovgate", "lowzones", "loyeetro", "lozer", "lsslogger", "ludbaruma", "luder", "ludicrouz", "lulusoftware", "luna", "lunam", "lyckriks", "lydra", "machaer", "macoute", "macri", "maener", "maesorn", "magania", "magnat", "magni", "mago", "mahato", "mailcheck", "mailru", "malkryp", "malushka", "malwar", "mamianune", "manbat", "mantana", "marketscore", "marocan", "matsnu", "maxdriver", "mazben", "mdeclass", "mediaget", "meinhudong", "meinv", "memery", "meno", "mensa", "mepaow", "messiah", "mewsspy", "mezzo", "miancha", "microfake", "midia", "midie", "mikey", "mimilove", "minebicoin", "minggy", "mintluks", "mira", "mirc", "mirkov", "mkar", "mlwr", "mobogenie", "moderate", "mofin", "mofksys", "moljec", "molock", "montp", "moonlight", "morphex", "mosu", "mrdec", "mresmon", "msposer", "mufanom", "multibar", "multidropper", "multim", "muma", "mupx", "murka", "murlo", "murofet", "musclecar", "mutant", "mutuodo", "mwpm", "mycop", "mydoom", "mywebsearch", "myxah", "nabasa", "naco", "nadrac", "naffy", "nagoot", "nagram", "nanobot", "nanocore", "naprat", "narcha", "nbcont", "nebuler", "necne", "neobar", "neos", "neshta", "netinject", "netsphere", "netwiredrc", "neurevt", "ngvck", "nicehashminer", "nilage", "nilaspo", "nion", "nisloder", "nistio", "nitol", "nitter", "njlogger", "noon", "noonlight", "nosok", "noupack", "npgi", "nrww", "nsanti", "nscauth", "nuclear_rat", "nussamoc", "nymaim", "nymeria", "nystprac", "oasisminus", "obrypser", "ocna", "octopus", "offend", "offtoup", "oficla", "oflwr", "olala", "olgames", "oligo", "omaneat", "onescan", "onesyscare", "onesystemcare", "opanki", "opencandy", "opesup", "optimizer", "orbus", "oremu", "orsam", "otezinu", "outbreak", "oxynoxy", "oyom", "oztar", "p2pworm", "pabin", "pacex", "padmer", "palibu", "pandview", "pantera", "paph", "passma", "pastraw", "pasur", "patpoopy", "pavica", "pbot", "pcacceleratepro", "pcclean", "pccleaner", "pcfixer", "pclnt", "pcmechanic", "pcmedic", "pcmega", "pcopticlean", "pcoptimizerpro", "pcreviver", "peals", "penzievs", "pepex", "pepm", "perez", "perfectoptimizer", "perflogger", "perkesh", "perkiler", "perseus", "petal", "petun", "pfoenic", "pgpsnippet", "phires", "phnu", "phpain", "phpw", "picsys", "pidmecc", "pieshua", "piker", "pincher", "pintu", "pioneer", "pipo", "pitin", "pizchao", "platan", "plimrost", "pliskal", "ploprolo", "plugs", "pluto", "pondfull", "pony", "ponystealer", "pophot", "popwin", "porex", "potukorp", "povertel", "powerless", "powp", "powzip", "poxters", "pramro", "pres", "prex", "primawega", "prjraptor", "processhijack", "procgmar", "prorat", "prosti", "proxyweb", "psloader", "pstinb", "psyme", "psyokym", "puamson", "pulobe", "puontib", "purgen", "purgory", "purityscan", "pushel", "putabmow", "puwaders", "pwsime", "pwszbot", "pykspa", "pyme", "qdownb", "qhost", "qjwmonkey", "qqfarmer", "qqmima", "qqpass", "qqten", "quant", "quasarrat", "quchispy", "quervar", "quireap", "rabased", "ragua", "ramdo", "ramnit", "ranapama", "randrew", "ranna", "ranos", "ransomkd", "rapidpass", "rapkill", "rarmal", "rasch", "rastabaf", "rastarby", "ravs", "razy", "rbot", "rebhip", "recex", "reconyc", "recory", "redgirl", "redlonam", "redneck", "redosdru", "redyms", "refpron", "refroso", "regger", "regrun", "regsup", "regub", "remas", "remcos", "remoh", "renaz", "reposfxg", "resdro", "reset", "restoro", "resur", "revetrat", "reymbz", "reyptson", "rialega", "ribaj", "ridnu", "rietspoof", "rifbu", "rifdoor", "rimic", "rising", "rockrat", "rodecap", "rofin", "rogan", "rostpay", "rozena", "rozenaa", "ruandmel", "rubat", "rubinurd", "ruby", "ruco", "ructo", "ruho", "rukoma", "rukometa", "runbooster", "rupttass", "ruskill", "ryzerlo", "sadenav", "sadredi", "safebreas", "safebytes", "sagonaire", "sahat", "sakto", "salgorea", "sality", "samca", "sankei", "sasfis", "sasquor", "sbdld", "sbyinying", "scano", "scar", "scarsi", "schoolbus", "schoolgirl", "scomma", "scoopy", "scrami", "sdbot", "sdld", "sdrop", "seed", "sefnit", "selcry", "selltim", "sennoma", "senta", "seodec", "serenity_rat", "seznam", "sfone", "sfuzuan", "shade", "shakblades", "shaosmine", "shaskooth", "sheldor", "shelma", "shepher", "shipup", "shrejh", "shufab", "shutdowner", "sigrun", "siho", "silcon", "silly", "sillyfdc", "simple", "singleclickoptimizer", "sinique", "sinresby", "sipia", "sisbot", "sisron", "sixer", "sixmuch", "sixxpack", "skeeyah", "skillis", "skorik", "skypespam", "slenfbot", "slimdrivers", "slimware", "slipafext", "sloddat", "slowpcfighter", "smalo", "smearpasse", "smee", "sminager", "smokeloader", "smuatemisagi", "sneepy", "snobar", "snojan", "snorm", "socelars", "socks", "socstealer", "soft32dl", "softcnapp", "softpulse", "sohanad", "sonbokli", "sorcurat", "soul", "specx", "speed", "speedcat", "speedingupmypc", "sperolz", "spigot", "spnr", "spybot", "spyboter", "spynomore", "ssebot", "staget", "stagol", "startp", "startserv", "startsurf", "steam", "stercogs", "stimilik", "stocde", "stop", "strat", "stream_rat", "strictorcrtd", "subroate", "subseven", "suite", "suloc", "superthreat", "suviapen", "swisyn", "swizzor", "swog", "swotter", "swrort", "synrat", "syscon", "sysdrop", "sysn", "systemcare", "systex", "systweak", "sytro", "taily", "tainp", "takbum", "talent", "talmad", "tanske", "tar4rkdi", "tarayt", "tarctox", "tarifarch", "tartober", "tbma", "tcdrop", "teambot", "tedroo", "temcac", "temonde", "tempedreve", "temr", "tenavt", "terabit_virus_maker", "terkcop", "tgrandongc", "thanatos", "therat", "thoper", "tibia", "tierry", "tiggre", "tiklog", "tikoog", "tilken", "tinba", "tinclex", "tinypos", "tipp", "tirrip", "titirez", "tivmonk", "tnega", "toauta", "tobor", "tofsee", "toga", "togapy", "toggle", "tomegun", "torjok", "torr", "tosthin", "totbrick", "tougle", "tovus", "trabin", "tracur", "trafog", "trash", "trickster", "trilon", "trioris", "triusor", "trjgen", "trojna", "troldesh", "troxa", "trpctrooper", "tspy", "tukrina", "tulong", "turkojan", "tvido", "tweakbit", "tyhos", "typic", "tyuimoi", "tzabf", "ubibila", "ubot", "udslee", "ufraie", "uk_splitter", "ukpa", "ulise", "uloader", "ulysses", "umbald", "umbra", "uniblue", "universal1337", "unruy", "unwaders", "upatre", "upkm", "urelas", "ursnif", "ursumdt", "uruasy", "utoti", "uwamson", "uztub", "uztuby", "vakcune", "vake", "valcaryx", "vampire", "vapsup", "vbcheman", "vbclone", "vbkeylog", "vbklog", "vbs_worm_generator", "vedpoz", "vehidis", "veilev", "vemptik", "venik", "verecno", "vibem", "vidro", "vigorf", "vilsel", "vindor", "virgilio", "virledi", "virlock", "virtum", "virtumod", "vitruvian", "vittalia", "vittaliaent", "vixup", "vjworm", "vkdj", "vkont", "vobfus", "vools", "vopackage", "vopak", "votchsys", "vstoolbar", "vtub", "vucha", "vundo", "wabot", "wajam", "wakme", "walerlop", "wannacry", "wansrog", "warezov", "wavipeg", "webdialer", "webdiscover", "webhat", "wecod", "weenloc", "weiduan", "wemosis", "wenper", "werly", "wigon", "wiliky", "winactivator", "windapp", "winiga", "winner", "winnti", "winreg", "winshell", "wintrim", "winwebsec", "winwrapper", "wirzemro", "wizrem", "wizzmonetize", "wombat", "woool", "woripecs", "wraut", "writos", "wronginf", "wuca", "wuji", "wyhymyz", "xanfpezes", "xcomp", "xdisccorp", "xiaoba", "xiazai", "xihet", "xiquitir", "xmrig", "xorala", "xorist", "xorpix", "xpun", "xpyn", "xtrat", "xxybss", "xxybuj", "xxybvi", "xxybwe", "xxybyu", "xxybzx", "xxyeut", "xxyheo", "xylauncher", "xyligan", "y3k_rat", "yahlover", "yakbeex", "yakes", "yantai", "yobdam", "yoddos", "yolov", "ytddownloader", "ytdownloader", "yunsip", "z_dem0n", "zacom", "zanoza", "zapinit", "zard", "zbiw", "zboter", "zdengo", "zdowbot", "zegost", "zeleffo", "zenfly", "zepfod", "zesibund", "zilix", "zjaisino", "zjek", "zloyfly", "zmem", "zoldon", "zombam", "zombierat", "zonebac", "zorex", "zpevdo", "zudochka", "zumanek", "zusy", "zvrek", "zvuzona", "zxor", "zygug", "zzinfor"]}, "T1566.001": {"name": "Phishing: Spearphishing Attachment", "tactic": "Initial Access", "families": ["000c", "5hex", "adject", "admoke", "adwind", "agenttesla", "agentus", "agentwdcr", "agile", "akely", "alphaeon", "alreay", "amavaldo", "aque", "arhost", "arload", "artel", "asparnet", "autophyte", "axbn", "azero", "bagif", "bagsu", "banbra", "bancobras", "bancos", "bancteian", "bandios", "bandit", "bank", "bankfraud", "bankoren", "banspy", "banz", "baryumka", "baserch", "basine", "bayrob", "bccrypt", "beaugrit", "bebloh", "begseabug", "belonard", "bero", "betkrypt", "betload", "bicololo", "birele", "bisonal", "bitrep", "bitter", "blacked", "blackv", "blacoleref", "blakamba", "blamon", "blihan", "blind", "blubot", "blueeagle", "blueh", "bluewushu", "bluteal", "boaxxe", "boht", "boopcel", "bredavi", "brobaneup", "broduplo", "brontok", "brresmon", "bruhorn", "bsdownloader", "buhtrap", "bulta", "busky", "bustem", "buzy", "bwod", "bybz", "cafecup", "cakl", "canbis", "capredeam", "carbanak", "cbot", "cdvq", "cebot", "ceckno", "cekar", "centrumloader", "cerber", "cgmu", "chanitor", "chapak", "chekafev", "chepdu", "chepro", "chifrax", "chir", "chistudi", "chthonic", "chupik", "citeary", "cjishu", "cleaman", "clhf", "cloverplus", "cloxer", "cmy3u", "cnopa", "coantor", "cobra", "codewall", "codiby", "comei", "comisproc", "comrerop", "confucius", "conjar", "coolmirage", "cordis", "corrempa", "cosmicduke", "cosratu", "cossta", "crastic", "crcf", "creprote", "cridex", "crifi", "crime", "crisisht", "crispit", "cryfile", "crypt0l0cker", "cryptconsole", "cryptinject", "cryrar", "crytex", "cslz", "csom", "csrb", "ctqc", "cutwail", "cwqw", "cyfin", "cypress", "dacic", "dadobra", "dalbot", "dalexis", "darkhotel", "darkneuron", "datper", "davobevix", "dazi", "defmid", "delbar", "delfidelfi", "delfiles", "delikle", "deliric", "delpem", "democry", "denes", "dervec", "deshacop", "desurou", "detplock", "detroie", "dico", "dimnie", "dishigy", "diss", "dodiw", "dominator", "doqv", "dorifel", "dorv", "dotnet", "dotto", "downer", "downloaderb", "drefir", "droma", "drowor", "dubfot", "dunco", "dupate", "duphead", "dyamar", "dycler", "eggnog", "ekidoa", "ekisoli", "elite", "elzob", "emelent", "emogen", "emotet", "emotetn", "enestedel", "enfal", "enistery", "enosch", "epack", "eqtonex", "erbon", "eroyee", "esprot", "estapa", "eszjuxuan", "etap", "excrevie", "exdek", "exeaqtor", "exploder", "ezoons", "facemoi", "fadok", "fakeie", "fakeime", "famvt", "fareit", "farsistall", "fasem", "fasong", "fayu", "fbsi", "fbtaken", "fdoh", "fearso", "feebs", "fesber", "fgarb", "figyek", "filoskeed", "firstinj", "flawedammyy", "floder", "flowershop", "flusihoc", "flystudi", "forbot", "formbook", "fourthrem", "foxhiex", "fraudster", "fwwy", "gamaredon", "gamup", "gandcrab", "gasti", "gena", "genasep", "gendal", "gendwnurl", "genericgb", "generickdz", "genericrxam", "genericrxca", "genericrxcl", "genericrxdm", "genericrxdr", "genericrxdz", "genericrxeq", "genericrxfo", "genericrxfq", "genericrxft", "genericrxfv", "genericrxgj", "genx", "geral", "ghoul", "gibe", "gippers", "glox", "goabeny", "gojdu", "gojdue", "golroted", "goodpic", "goppel", "gorgon", "gottle", "gozi", "goznym", "graybird", "guildma", "hallaj", "hamaetot", "hancitor", "haperlock", "happy", "harnig", "hbov", "headache", "hermes", "hexloader", "hexzone", "higuniel", "hilevel", "hiloti", "hiru", "hkmain", "hlubea", "hokobot", "homles", "horst", "hostwack", "hpgen", "hrup", "huhk", "hvom", "hype", "icedid", "ident", "idsohtu", "ilomo", "inegery", "inservice", "irplan", "isnev", "isof", "itva", "jackservn", "jaike", "jaiko", "jaiks", "jatif", "jbomi", "jhee", "jimmy", "jintor", "jobaka", "jobcrypter", "jord", "jottix", "jumpta", "juntador", "jyfi", "jyuqet", "kapucen", "karius", "kasinst", "kate", "kazus", "kelios", "keyboy", "killnotes", "kirts", "klone", "koal", "konni", "konus", "koobcafe", "korplug", "kovloer", "kraddare", "krament", "krdr", "kriskynote", "krolol", "krserv", "krucky", "krunchy", "kryptpck", "ksdler", "kuluoz", "kykymber", "laban", "lapka", "lebag", "ledruppi", "leivion", "lenwadu", "leopard", "leymo", "liev", "lightmoon", "lightsee", "liimpact", "lipler", "listicka", "loader", "locky", "lockyc", "lodbak", "lojulox", "loki", "lolojan", "loskad", "loveletter", "lovgate", "luder", "ludicrouz", "luna", "lunam", "lyckriks", "lydra", "machaer", "macoute", "macri", "macrodrop", "maesorn", "magnat", "magni", "mago", "mahato", "malmaker", "malushka", "mamianune", "manbat", "mantana", "marocan", "matsnu", "mazben", "mdeclass", "mdrop", "meinhudong", "mensa", "mepaow", "metel", "mezzo", "miancha", "microjoin", "midia", "mimilove", "minggy", "miniduke", "minimal", "mira", "mirkov", "mkar", "mofin", "moljec", "molock", "montp", "moonlight", "morphex", "mosu", "mrdec", "mresmon", "msidrop", "msildrop", "msilinj", "msposer", "mufanom", "multidl", "multim", "murlo", "mutant", "mutuodo", "mwpm", "mycop", "mydoom", "myransom", "mytob", "myxah", "nabasa", "naco", "nadrac", "nagoot", "nakoctb", "naprat", "narcha", "nbcont", "nebuler", "necne", "necurs", "negasteal", "nemucod", "neos", "netinject", "ngvck", "nilage", "nisloder", "noonlight", "nosok", "nrww", "nsanti", "nscauth", "nukesped", "nymeria", "nystprac", "nyxem", "oceanlotus", "ocna", "octopus", "offend", "offtoup", "oficla", "olala", "oligo", "opanki", "opesup", "orbus", "orsam", "otezinu", "outbreak", "oztar", "pacex", "pajetbin", "palibu", "pandview", "pantera", "paph", "paradise", "passma", "pasta", "patpoopy", "pavica", "peals", "pepm", "perkesh", "perkiler", "perseus", "petun", "pfoenic", "pgpsnippet", "phorpiex", "pieshua", "pikabot", "pikachu", "piker", "pincher", "pintu", "pizchao", "plimrost", "ploprolo", "polycrypt", "pophot", "potao", "povertel", "powerless", "powzip", "pramro", "pres", "primawega", "propagate", "prosti", "psloader", "pstinb", "psyokym", "purgen", "pushel", "putabmow", "puwaders", "pwsime", "pynamer", "qbot", "qqfarmer", "qqmima", "qqten", "quant", "quchispy", "quervar", "quireap", "qzonit", "rabased", "ranapama", "randrew", "ranos", "rapkill", "rarmal", "rastabaf", "rastarby", "ravs", "recex", "redlonam", "redneck", "redosdru", "refpron", "refroso", "regub", "remas", "remoh", "renaz", "resdro", "reset", "resur", "rifbu", "rifdoor", "rimic", "rising", "rofin", "rogan", "rontokbr", "ruandmel", "rubat", "rubinurd", "ruby", "ruco", "ructo", "ruho", "rukoma", "rukometa", "rupttass", "ruskill", "ryzerlo", "sadenav", "sage", "sagecrypt", "sagonaire", "sahat", "samca", "sasfis", "sasquor", "scano", "scarab", "scarcruft", "schoolboy", "scriptkd", "sdld", "selltim", "seodec", "separ", "shade", "shakblades", "shaosmine", "shaskooth", "sheldor", "shepher", "shrejh", "shufab", "sigma", "silcon", "simbot", "simple", "sinresby", "sipia", "sisbot", "sixer", "sixmuch", "skillis", "slipafext", "smalo", "smearpasse", "smee", "sminager", "smuatemisagi", "snobar", "snoload", "snorm", "snow", "sorcurat", "soul", "sperolz", "spnr", "spora", "ssebot", "stagol", "startserv", "steam", "stercogs", "stimilik", "stocde", "stormattack", "strictorcrtd", "suite", "suloc", "swotter", "syscon", "sysdrop", "systex", "taily", "tainp", "takbum", "talent", "tanske", "tar4rkdi", "tarayt", "tarctox", "tarifarch", "tbma", "teamspy", "temcac", "tempedreve", "temr", "tenavt", "terkcop", "therat", "thoper", "tilken", "tinydl", "tinyloader", "tipp", "tirrip", "titirez", "tnega", "toauta", "toga", "togapy", "tonmye", "torjok", "torr", "tougle", "tovicrypt", "tovus", "trabin", "trafog", "travnet", "trickbot", "triusor", "trojanbanker", "troldesh", "trpctrooper", "tulong", "turla", "tvido", "tyhos", "typic", "tzabf", "ubibila", "ufraie", "ukpa", "ulise", "uloader", "umbald", "upatre", "upkm", "ursnif", "ursnifdropper", "ursu", "ursumdt", "utoti", "uwamson", "uztub", "uztuby", "vake", "valcaryx", "vanilloader", "vapsup", "vbcheman", "vbcode", "vbcryptent", "vbinder", "vbs_worm_generator", "vedpoz", "vehidis", "veilev", "vemptik", "venik", "verecno", "vibem", "vidar", "vidro", "vigorf", "virtum", "virtumod", "vixenpanda", "vkdj", "vkont", "vools", "vopackage", "vopak", "vucha", "vxidl", "warezov", "wdjiange", "webdown", "webhat", "wecod", "weenloc", "weiduan", "wemosis", "wenper", "werly", "werpoapt", "wigon", "wiliky", "windapp", "winemm", "winevar", "winner", "wirzemro", "wmfap", "wombat", "wraut", "writos", "wuca", "wuji", "wyhymyz", "xanfpezes", "xdata", "xdisccorp", "xiaoba", "xiazai", "xihet", "xiquitir", "xorala", "xorpix", "xpun", "xpyn", "xxyheo", "xylauncher", "xyligan", "yakbeex", "yantai", "yobdam", "zacom", "zafi", "zapinit", "zard", "zbiw", "zboter", "zebrocy", "zeleffo", "zepto", "zerber", "zesibund", "zjaisino", "zloyfly", "zmem", "zombam", "zorex", "zumanek", "zvuzona", "zxrloader", "zygug", "zzinfor"]}, "T1027": {"name": "Obfuscated Files or Information", "tactic": "Defense Evasion", "families": ["000c", "0y0auaszpblb", "0y1a48lx2yib", "1fb728f", "27d3e5bc", "5hex", "5z0ba4mkpih", "6b47672c", "a8p9eklc", "adcrypterlib", "adject", "adkdllwrapper", "admoke", "agentb", "agentus", "agentwdcr", "agile", "akely", "alphaeon", "alreay", "alyak", "amgfaohk2uf", "amgfvjgvdoaan", "aotoit", "aque", "arhost", "asparnet", "atom", "autohk", "autoitscript", "autoruns", "axbn", "azero", "badjoke", "bagif", "bagsu", "bandios", "bandit", "banspy", "banz", "baryumka", "baserch", "basine", "batlauncher", "bccrypt", "be3auestydmi", "beaugrit", "begseabug", "belonard", "bero", "betkrypt", "betload", "bicololo", "binder", "birele", "bitmin", "bitrep", "blacked", "blackhole", "blackv", "blacoleref", "blakamba", "blind", "blokrypt", "blubot", "blueeagle", "blueh", "bluewushu", "bluteal", "bmkfxasqf6ki", "bnuaaewgb2fb", "boaxxe", "boht", "boopcel", "bredavi", "broduplo", "brresmon", "bruhorn", "bsdownloader", "bsymem", "bulta", "busky", "bustem", "buterat", "buzy", "bwod", "bybz", "caae34dd", "cafecup", "cakl", "cambot", "canbis", "capredeam", "cardtool", "cbot", "cdvq", "cebot", "ceckno", "cekar", "centrumloader", "cerbu", "cgmu", "chekafev", "chepdu", "chepro", "chifrax", "chir", "chistudi", "chopper", "chupik", "citeary", "ciyaamgnrsg", "cjishu", "cleaman", "clhf", "clipspy", "cloverplus", "cloxer", "cmgfaeflb9e", "cmy3u", "cnopa", "coantor", "cobra", "code", "codewall", "codiby", "comei", "comisproc", "comrerop", "conjar", "coolmirage", "cordis", "corrempa", "cosratu", "cossta", "crastic", "crcf", "creprote", "crifi", "crime", "crisisht", "crispit", "cryptoload", "cryptolocker", "cryptowall", "cslz", "csom", "csrb", "ctqc", "cwqw", "cyfin", "cyn", "cypress", "dacic", "dadobra", "dalbot", "dalexis", "dapato", "darkneuron", "datper", "davobevix", "daws", "dazi", "defmid", "delbar", "delfidelfi", "delikle", "deliric", "delpem", "delphi", "delphinjector", "denes", "dervec", "deshacop", "desurou", "detplock", "detroie", "dfay", "dico", "dishigy", "diss", "dodiw", "dofoil", "dominator", "doqv", "dorv", "dotnet", "dotto", "downer", "downloaderb", "downloadhelper", "drefir", "driverpack", "droma", "drooptroop", "drowor", "dubfot", "dunco", "dupate", "duphead", "dyamar", "dycler", "e13044af", "e2f3f4d", "eb149b", "eggnog", "ei0frdaui", "eicardemo", "ekidoa", "ekisoli", "elemental", "elzob", "emelent", "emgfamt7gjgi", "emmfaeuirscb", "emogen", "enestedel", "enistery", "enosch", "epack", "eqtonex", "erbon", "eroyee", "esprot", "estapa", "eszjuxuan", "etap", "evillocker", "excrevie", "exdek", "exeaqtor", "expiro", "exploder", "explorerhijack", "ezoons", "facemoi", "fadok", "fakeie", "fakeime", "familykeylogger", "famvt", "farsistall", "fasem", "fasong", "fastpc", "fayu", "fbsi", "fbtaken", "fcb569f", "fdoh", "fearless_lite", "fearso", "fesber", "fgarb", "figyek", "filoskeed", "firstinj", "flinject", "floder", "flowershop", "flusihoc", "flystudi", "fnwabyxmbkm", "forbot", "fourthrem", "foxhiex", "fraudster", "fuerboos", "fwwy", "fz4aaueo2jhi", "gamarue", "gamup", "gandcrab", "ganelp", "gasti", "gemius", "gena", "genasep", "gendal", "genericgb", "generickdz", "genericrxaa", "genericrxaf", "genericrxal", "genericrxam", "genericrxaq", "genericrxaz", "genericrxbg", "genericrxbm", "genericrxbp", "genericrxbw", "genericrxbx", "genericrxca", "genericrxce", "genericrxch", "genericrxci", "genericrxck", "genericrxcl", "genericrxcp", "genericrxcs", "genericrxcw", "genericrxcy", "genericrxda", "genericrxdc", "genericrxde", "genericrxdf", "genericrxdi", "genericrxdm", "genericrxdr", "genericrxdt", "genericrxdx", "genericrxdz", "genericrxeb", "genericrxed", "genericrxeh", "genericrxeq", "genericrxex", "genericrxfe", "genericrxfh", "genericrxfo", "genericrxfp", "genericrxfq", "genericrxfs", "genericrxft", "genericrxfu", "genericrxfv", "genericrxgj", "genericrxgm", "genericrxgp", "genericrxgq", "genericrxgr", "generictka", "gentromal", "genx", "geral", "ghoul", "gippers", "glox", "goabeny", "gojdu", "gojdue", "goodpic", "goppel", "gottle", "graybird", "hallaj", "hamaetot", "haperlock", "happy", "harnig", "hbov", "hc4cakjs5bhi", "headache", "hermes", "hesv", "hexloader", "hexzone", "higuniel", "hilevel", "hiloti", "hiru", "hkautoit", "hkmain", "hlubea", "hokobot", "homles", "horst", "hostwack", "hpgen", "hrup", "huhk", "hvom", "hworld", "hype", "ident", "idsohtu", "ilomo", "imqaaem1agai", "indigorose", "inegery", "inexsmar", "inservice", "irplan", "isnev", "isof", "itva", "jackservn", "jaike", "jaiko", "jaiks", "jakyllhyde", "jatif", "jbomi", "jeefo", "jhee", "jimmy", "jintor", "jnkfasgyvyo", "jo0br8hglsii", "jobaka", "joiner", "jord", "jottix", "jps_virus_maker", "jscriptwrap", "jumpta", "juntador", "jyfi", "jyuqet", "kapucen", "karius", "kasinst", "kate", "kazus", "kelios", "keyboarddisable", "keydownload", "killall", "killnotes", "kirts", "klone", "koal", "kolabc", "konus", "koobcafe", "koutodoor", "kovloer", "kovter", "kraddare", "krament", "krdr", "kriskynote", "krolol", "krserv", "krunchy", "kryptstarter", "ksdler", "kuaizip", "kykymber", "kz4aamkfbloj", "laban", "lapka", "lebag", "ledruppi", "leivion", "lenwadu", "leopard", "lethic", "leymo", "liev", "lightmoon", "lightsee", "liimpact", "lipler", "listicka", "ljoiner", "llac", "lmkfrhivlcfba", "loadmoney", "locky", "lodbak", "lojulox", "lolojan", "loskad", "lpt8mkfbyfsjgnkb", "luder", "ludicrouz", "luna", "lunam", "lyckriks", "lydra", "machaer", "macoute", "macri", "maesorn", "magnat", "magni", "mago", "mahato", "malmaker", "malushka", "malwares", "mamianune", "manbat", "mantana", "marocan", "matsnu", "mazben", "mdeclass", "mdrop", "meinhudong", "mensa", "mepaow", "mezzo", "mi0ax8mhb4ji", "miancha", "microjoin", "midia", "mimilove", "minggy", "mintluks", "mirkov", "mkar", "mlwr", "mmsfrmqm16ci", "mofin", "molebox", "moljec", "molock", "montp", "moonlight", "morphex", "mosu", "mrdec", "mresmon", "msposer", "mudrop", "mufanom", "multijoiner", "multim", "murlo", "murofet", "mutant", "mutuodo", "mwpm", "mycop", "myxah", "nabasa", "naco", "nadrac", "nagoot", "nakoctb", "naprat", "narcha", "nbcont", "nebuler", "necne", "nemesis", "nemucod", "neos", "neshta", "netinject", "newheur", "ngvck", "nilage", "nisloder", "niwaa8lfbrj", "nmkfxmdtnmoi", "noonlight", "nosok", "nrww", "nsanti", "nscauth", "nymaim", "nymeria", "nystprac", "obfusransom", "ocna", "octopus", "offend", "offtoup", "olala", "oligo", "omaneat", "omyaamfbexii", "onkfa0sahzhg", "opesup", "orbus", "orsam", "otezinu", "ou0bsubcbkhb", "outbreak", "oztar", "pacex", "palibu", "pandview", "pantera", "paph", "passma", "patpoopy", "pavica", "pckdflystudio", "pdxbbkgat9ci", "peals", "pepm", "perkesh", "perkiler", "perseus", "petun", "pfoenic", "pgpsnippet", "pieshua", "pikabot", "piker", "pincher", "pintu", "pioneer", "pizchao", "pjtbinder", "pjzab0jsupjb", "plimrost", "ploprolo", "pluto", "polip", "polypatch", "ponystealer", "pophot", "possiblemalware", "povertel", "powerless", "powzip", "pramro", "pres", "primawega", "processhijack", "prosti", "proxygate", "pshell", "psloader", "pstinb", "pswdump", "psyokym", "purgen", "pushel", "putabmow", "puwaders", "pwsime", "pyinstaller", "pynamer", "qmlfrt0j91kid", "qmuabwpoobbg", "qqfarmassist", "qqfarmer", "qqmima", "qqten", "quchispy", "quervar", "quireap", "rabased", "ranapama", "randrew", "ranos", "ransim", "rapkill", "rarmal", "rastabaf", "rastarby", "ravs", "recex", "redlonam", "redneck", "redosdru", "redyms", "refpron", "refroso", "regub", "remas", "remoh", "renaz", "resdro", "reset", "resur", "revetrat", "rietspoof", "rifbu", "rifdoor", "rimic", "rising", "rmkef9zs0zhi", "rmkefbclnjpi", "roboinstall", "rofin", "rogan", "rozena", "ruandmel", "rubat", "rubinurd", "ruby", "ruco", "ructo", "ruho", "rukoma", "rukometa", "rupttass", "ruskill", "ryzerlo", "rz0a4oaeuqdi", "rzwaagpbkfii", "sadenav", "sagonaire", "sahat", "samca", "sasquor", "sbdbat2exe", "scano", "scramupx", "scribble", "scriptkd", "sdld", "selltim", "seodec", "sfone", "shakblades", "shaosmine", "shaskooth", "sheldor", "shelma", "shepher", "shrejh", "shufab", "silcon", "silentinstall", "simple", "sinresby", "sipia", "sisbot", "sixer", "sixmuch", "sixxpack", "skeeyah", "skillis", "skorik", "slipafext", "smalo", "smearpasse", "smee", "sminager", "smokeloader", "smuatemisagi", "snobar", "snoload", "snorm", "softcnapp", "sorcurat", "soul", "sperolz", "spnr", "ssebot", "stagol", "startserv", "stercogs", "stimilik", "stocde", "stop", "strictorcrtd", "suite", "suloc", "swizzor", "swotter", "syscon", "sysdrop", "systex", "sz4aaw", "taily", "tainp", "takbum", "talent", "tanske", "tar4rkdi", "tarayt", "tarctox", "tarifarch", "tbma", "temcac", "tempedreve", "temr", "tenavt", "terabit_virus_maker", "terkcop", "therat", "thoper", "tilken", "tinba", "tinyloader", "tipp", "tirrip", "titirez", "tmgfayxalbaj", "tnega", "toauta", "toga", "togapy", "torjok", "torr", "tougle", "tovus", "trabin", "trafog", "trialkiller", "trjgen", "trpctrooper", "tulong", "tvido", "tyhos", "typic", "tzabf", "ubibila", "ufraie", "ukpa", "ulise", "uloader", "umbald", "umbra", "upackdam", "upatre", "upkm", "ursnif", "ursumdt", "utoti", "uwamson", "uztub", "uztuby", "vake", "valcaryx", "vapsup", "vbcheman", "vbcryptent", "vbmod", "vbs_worm_generator", "vedpoz", "vehidis", "veilev", "vemptik", "venik", "verecno", "vesenlosow", "vibem", "vidro", "vigorf", "vindor", "virtu", "virtum", "virtumod", "vitro", "vkdj", "vkont", "vobfus", "vools", "vopackage", "vopak", "vucha", "vz2au4dpceii", "warezov", "wdfload", "webdial", "webhat", "webisida", "wecod", "weenloc", "weiduan", "wemosis", "wenper", "werly", "wews", "wigon", "wiliky", "windapp", "winemm", "winner", "wintrim", "wirzemro", "wisbipuf", "wombat", "wraut", "writos", "wuca", "wuji", "wyhymyz", "xanfpezes", "xdisccorp", "xiaoba", "xiazai", "xihet", "xiquitir", "xkit", "xmgfa0ysjgki", "xmgfbs8lpqoib", "xmrig", "xorala", "xorpix", "xpaj", "xpun", "xpyn", "xxybsq", "xxybss", "xxybtw", "xxybuj", "xxybvi", "xxybwe", "xxybzx", "xxycbl", "xxycdl", "xxycec", "xxycff", "xxychs", "xxyheo", "xylauncher", "xyligan", "yabinder", "yakbeex", "yakes", "yantai", "ymkfawdgfnmi", "yobdam", "yoddos", "younglotus", "yunsip", "yy0aueeqipni", "yywaa08jovdg", "zacom", "zapinit", "zard", "zbiw", "zboter", "zeleffo", "zesibund", "zjaisino", "zloyfly", "zmem", "zombam", "zorex", "zs0bbeypkrh", "zumanek", "zvuzona", "zxrloader", "zygug", "zzinfor", "candiru"]}, "T1568.002": {"name": "Dynamic Resolution: Domain Generation Algorithms (DGA) (Evading C2 blacklisting)", "tactic": "Command and Control", "families": ["0y0auaszpblb", "0y1a48lx2yib", "a8p9eklc", "amgfvjgvdoaan", "banbra", "bancos", "be3auestydmi", "bedep", "beebone", "bmkfxasqf6ki", "bnuaaewgb2fb", "ciyaamgnrsg", "conficker", "crypt0l0cker", "cryptolocker", "ei0frdaui", "emgfamt7gjgi", "emmfaeuirscb", "fnwabyxmbkm", "fz4aaueo2jhi", "hc4cakjs5bhi", "hmgfa45id4o", "imqaaem1agai", "jnkfasgyvyo", "jo0br8hglsii", "khalesi", "kido", "kjwar5ju8ibgb", "kraken", "lmkfrhivlcfba", "locky", "lockyc", "lurk", "mmnfbgfpueki", "mmsfrmqm16ci", "murofet", "mz0a4gxuisb", "napolar", "necurs", "niwaa8lfbrj", "nmkfxmdtnmoi", "nymaim", "omyaamfbexii", "onkfa0sahzhg", "pdxbbkgat9ci", "phorpiex", "pjzab0jsupjb", "pykspa", "qmlfrt0j91kid", "qmuabwpoobbg", "ramdo", "rmkef9zs0zhi", "rmkefbclnjpi", "rovnix", "rz0a4oaeuqdi", "rz0auircb0di", "rzwaagpbkfii", "shylock", "sz4aaw", "uiwao0sam", "urcs", "vesenlosow", "vz2au4dpceii", "wi0abyrjybki", "wisbipuf", "xmgfa0ysjgki", "ymkfawdgfnmi", "yy0aueeqipni", "yywaa08jovdg", "zaxar", "zepto", "zs0bbeypkrh"]}, "T1204.002": {"name": "User Execution: Malicious File (Relying on the user to execute the unique payload)", "tactic": "Execution", "families": ["1fb728f", "4shared", "6b47672c", "activator", "addrop", "adkor", "adspy", "appset", "archsms", "arload", "armadillo", "artel", "auslogics", "autit", "axespec", "badjoke", "bagle", "benjamin", "binder", "bindjpg", "brobaneup", "browsefox", "bunndle", "candyopen", "cerber", "chatzum", "cheatengine", "cryakl", "cryptos", "csdimonetize", "dapato", "datakeeper", "deepscan", "delfidelfi", "directdownloader", "dlboost", "dlguide", "dllhijacker", "dlsponsor", "donex", "dotnet", "downexec", "downloadadmin", "downloadsoft", "doyo", "drivertalent", "driverupdater", "egroupdial", "exebinder", "exescript", "expressdownloader", "eziriznetreactor", "fakecoder", "fakefolder", "fakeplayer", "fakerean", "filepatch", "filerepmetagen", "firseria", "freenew", "fuerboos", "fullscreen", "fusioncore", "game", "gamehack", "gamehuck", "gamemodding", "gamsoft", "gatak", "gendwnurl", "genericrxau", "genericrxaz", "genericrxbx", "genericrxdc", "genericrxdt", "genericrxdw", "genericrxea", "genericrxeg", "genericrxgp", "generictka", "genkmsp", "genmaldow", "ggpass", "gofot", "grandcrap", "heye", "hiddentear", "hostschanger", "hpdefender", "hworld", "icloader", "idlekms", "incredimail", "indigorose", "indiloadz", "induc", "inno", "installbrain", "installermonetizer", "installflash", "installiq", "installmate", "installmetrix", "installmonetizer", "ipswitch", "joiner", "joke", "juntador", "kaymundler", "kgen", "kuzitui", "ljoiner", "lmir", "magic", "mailru", "malwarecrypter", "malwares", "maplestory", "mdrop", "mediamagnet", "mekotio", "microjoin", "minimal", "mods", "moleboxvs", "moneyinst", "morphine", "mudrop", "multidl", "multijoiner", "mypcbackup", "neoreklami", "netshrink", "nicehashminer", "nspm", "offerinstall", "onesyscare", "onlineg", "opencandy", "opendownloadmanager", "openinstall", "opensupdater", "patch", "patchload", "pcacceleratepro", "pcclean", "pcfixer", "pckeeper", "pcmedic", "pcreviver", "perfectoptimizer", "pespin", "pjtbinder", "playtech", "porntool", "procpatcher", "qjwmonkey", "regcure", "regrun", "removewga", "restoro", "roboinstall", "safebytes", "safeterra", "sbdbat2exe", "scar", "schoolgirl", "sciagnij", "screenmate", "scribble", "securityxploded", "shopbot", "sigrun", "silentall", "silentinstall", "simplified", "simplyinstaller", "singleclickoptimizer", "skypespam", "slimdrivers", "slimware", "slingup", "slowpcfighter", "smal", "smartapps", "smartassembly", "smartinstaller", "soft32dl", "softobase", "softpulse", "somoto", "speedcat", "speedingupmypc", "spynomore", "stantinko", "stufffull", "surveyer", "swpatch", "systemcare", "sysupdate", "temonde", "testfile", "tibia", "tinydl", "tinyloader", "toptools", "torntv", "trainer", "trash", "trialkiller", "trickster", "tsklnk", "tweakbit", "ulise", "ultrasurf", "uniblue", "unpacked", "upadter", "updater", "ursu", "vanilloader", "vbcryptent", "vbinder", "virledi", "visicom", "vittaliaent", "wakme", "webcompanion", "webdown", "wews", "wintaskad", "wizrem", "wpepro", "wronginf", "youxun", "zlob"]}, "T1566.002": {"name": "Phishing: Spearphishing Link (Social engineering to force the user to download the tool)", "tactic": "Initial Access", "families": ["2345cn", "2345explorer", "adagent", "ammyy", "anserin", "anyprotect", "appster", "apropos", "autorunerent", "bamital", "bankfraud", "blackmoon", "bmmedia", "bomka", "brosafe", "browsecx", "bubbledock", "bundleloader", "carambisdu", "casbaneiro", "cdnhelper", "chinad", "cntads", "darkgate", "deepsea", "driverpack", "easyspeedcheck", "edeals", "esaprof", "fakehack", "fakesupport", "fakesysdef", "feedarch", "fenomengame", "flvdownloader", "funmood", "gameapp", "gameol", "gamium", "gamsofts", "gaofenquming", "getnow", "globalacces", "glukelira", "goobzo", "hostmodifier", "innomod", "istartsurfinstaller", "istbar", "iwin", "kelihos", "kelvir", "koobface", "lineage", "loadmoney", "lolbot", "micronames", "mypcbackup", "netsky", "opriupdater", "palevo", "paper", "pckeeper", "pcmechanic", "pcoptimizerpro", "playgames", "plicker", "podnuha", "popad", "prast", "qqrob", "ramnit", "regcure", "rodecap", "rustock", "sbyinying", "searchbar", "searchsetter", "sennaonemaker", "shopperz", "skypespam", "soulclose", "speed", "speedchecker", "storm", "syncopate", "talalpek", "tibsystems", "tongji", "tsklnk", "unigo", "vprotect", "whenu", "whimoo", "wrar", "youtubedownloaderguru", "zenosearch", "zusy"]}, "T1547.009": {"name": "Boot or Logon Autostart Execution: Shortcut Modification (Altering browser shortcuts)", "tactic": "Persistence", "families": ["2345cn", "adposhel", "alnaddy", "browsecx", "browshot", "forcestartpage", "funmood", "istartsurfinstaller", "megasearch", "neoreklami", "presenoker", "searchsetter", "vosteran"]}, "T1112": {"name": "Modify Registry", "tactic": "Defense Evasion", "families": ["2345cn", "2345explorer", "4shared", "a_311_death", "aauto", "accelerator", "acid_drop", "adaebook", "adagent", "adbreak", "addlyrics", "addrop", "adgazelle", "adpernok", "adposhel", "advpassman", "adwapper", "adwaresig", "amiboide", "anserin", "antavmu", "appscience", "appster", "asktoolbar", "auslogics", "autoit", "avkiller", "awangba", "back_orifice", "baidusearch", "bamital", "bandoo", "beast", "bloored", "bmmedia", "bomka", "boychi", "browseban", "browsecx", "bubbledock", "byfh", "bypassuac", "bytefence", "casinoonline", "catalina", "cdnhelper", "cheatengine", "chinad", "chindo", "cleanpcpro", "clearsearch", "clickmein", "cloudguard", "cloudscout", "cnbtech", "conduit", "conficker", "convertad", "coupons", "crawler", "csdimonetize", "cuegoe", "dealply", "deceptor", "deceptpcclean", "deepsea", "defaulttab", "dinwod", "disabler", "diskscanfa", "dlboost", "dlguide", "dlsponsor", "dnscleaner", "domaiq", "dotbundle", "dotdo", "dovs", "downloadhelper", "downloadshield", "driverbooster", "driverpack", "driverturbo", "driverupdate", "drmsoft", "easyspeedcheck", "edeals", "erazer", "erazer_lite", "esaprof", "expressdownloader", "extcrome", "extenbro", "exxroute", "eyooun", "ezsearch", "fakeal", "faketool", "fearless_key_spy", "feedarch", "fenomengame", "firseria", "flowspirit", "flystudio", "freekeylogger", "funmood", "gameapp", "gamehack", "gamemodding", "gameol", "gamium", "gamsoft", "gaofenquming", "gator", "genkryptik", "getnow", "globalacces", "glukelira", "gocloudnet", "goobzo", "gotango", "gt32supportgeeks", "hijacker", "hostmodifier", "hosts", "hostseditor", "hostspatcher", "hotbar", "hpdefender", "icedid", "icloader", "iezones", "imestartup", "inbox", "incredimail", "indiloadz", "innomod", "installbrain", "installermonetizer", "installmonster", "istartsurf", "istartsurfinstaller", "istbar", "iwin", "jacard", "joosoft", "jps", "jps_virus_maker", "keywordfind", "koobface", "kovter", "kuaiba", "kuaizip", "kuping", "kuzitui", "linkular", "linkury", "lmir", "loadmoney", "mailru", "mapsgory", "marketscore", "maxsecure", "mediafinder", "megasearch", "menti", "micronames", "mobogenie", "mogoogwi", "monder", "moneyinst", "multiplug", "mybeesearch", "navipromo", "neobar", "neoreklami", "neshta", "nieguide", "nitol", "noon", "nuclear_rat", "offergenerator", "ohmytabs", "oneclick", "onescan", "onesystemcare", "opencandy", "opendownloadmanager", "openinstall", "opensupdater", "opriupdater", "optimizer", "optispeed", "paper", "pcbooster", "pccleaner", "pccleaners", "pccleaningutility", "pccleanplus", "pchealthboost", "pcrepair", "pcvark", "pennybee", "perion", "picsys", "pirminay", "playgames", "playtech", "plicker", "podnuha", "popad", "popwin", "powp", "prast", "premium", "presenoker", "prjraptor", "progressive", "proinstall", "protector", "qaccel", "qhost", "qjwmonkey", "qqware", "redirect", "regger", "regrun", "regsup", "relevantknowledge", "revizer", "rubar", "runbooster", "safebytes", "screen", "searchbar", "searchgo", "searchpage", "searchprovide", "searchsetter", "seed", "sennaonemaker", "serenity_rat", "shenzhen", "shiotob", "shipup", "shodi", "shopperz", "shopro", "slimware", "smartapplicationcontroller", "smartapps", "soft32dl", "softcdn", "softcnapp", "softomate", "softpulse", "sogou", "sokuxuan", "somoto", "soulclose", "specialsearchoffer", "speedingupmypc", "speesipro", "spigot", "startsurf", "streamer", "sunnydigits", "swizzor", "syncopate", "sysn", "systemhijack", "systweak", "systweaker", "talalpek", "taranis", "temonde", "tencent", "terabit_virus_maker", "tibsystems", "timesink", "toggle", "tongji", "torrenteasy", "tsingsoft", "tweakbit", "ubar", "uniblue", "unigo", "unruy", "unwaders", "updater", "uptodown", "vbkryjetor", "verti", "vilsel", "vimditator", "virlock", "vittalia", "vittaliaent", "vkhost", "vkontaktedj", "vrbrothers", "vundo", "w10tweak", "wdfload", "webcompanion", "webisida", "webprefix", "whenu", "whimoo", "widdit", "widgi", "winactivator", "winloadsda", "winlock", "winreg", "winshow", "winspeedup", "wizzmonetize", "woozlist", "wronginf", "wsgame", "xiaoxiong", "xunleihd", "yobrowser", "youtubedownloaderguru", "ytddownloader", "zamg", "zdengo", "zenosearch", "zepfod", "zwangi"]}, "T1176": {"name": "Browser Extensions", "tactic": "Persistence", "families": ["2345cn", "2345explorer", "4shared", "aauto", "accelerator", "adaebook", "adagent", "adanti", "addlyrics", "addmepoint", "addrop", "adgazelle", "adinstaller", "adkor", "admedia", "adposhel", "adpower", "adspy", "adwapper", "alnaddy", "alot", "amonetize", "anserin", "appscience", "appset", "apropos", "axespec", "baidu", "baiduwrapper", "bamital", "bandoo", "bettersurf", "bhoint", "bloored", "bmmedia", "bomka", "boxter", "bplug", "browseban", "browsecx", "browsefox", "browserio", "bubbledock", "bundlore", "bytefence", "catalina", "cdnhelper", "chatzum", "chinad", "chindo", "clickmein", "cloudscout", "cnbtech", "cnnic", "cnsmin", "cntads", "conduit", "convertad", "couponmarvel", "coupons", "crawler", "csdimonetize", "dealply", "deepsea", "dlboost", "dlhelper", "dlsponsor", "dnscleaner", "dotbundle", "dovs", "downloadadmin", "downloadhelper", "doyo", "drmsoft", "easyspeedcheck", "edeals", "emarketing", "eorezo", "esaprof", "exent", "extcrome", "extenbro", "eyooun", "ezsearch", "ezsoftwareupdater", "ezula", "fakeff", "favadd", "feedarch", "fenomengame", "firseria", "flvdirect", "flvdownloader", "forcestartpage", "freenew", "fullscreen", "funmood", "fusioncore", "gameapp", "gamebox", "gameol", "gamevance", "gamsofts", "gaofenquming", "gator", "genericrxad", "getnow", "globalacces", "glukelira", "gocloudnet", "goobzo", "gotango", "helper", "heye", "hijacker", "hotbar", "iespy", "incredimail", "indiloadz", "innomod", "installbar", "installbrain", "installcore", "installermonetizer", "installiq", "installmonetizer", "installmonster", "installpack", "istartsurf", "istartsurfinstaller", "istbar", "itorrent", "itranslator", "iwin", "jacard", "joosoft", "keywordfind", "kuaiba", "kuping", "kuzitui", "linkular", "linkury", "loadmoney", "lollipop", "mailru", "mapsgory", "mediafinder", "mediaget", "medialabs", "mediamagnet", "mediana", "megasearch", "meikehuayi", "menti", "micronames", "mikey", "mogoogwi", "monder", "mostofate", "multibar", "multiplug", "mutabaha", "mybeesearch", "mydisksu", "mytonel", "mywebsearch", "navipromo", "neoreklami", "nhopro", "nieguide", "noon", "nottotrack", "nspm", "offerbox", "offergenerator", "ohmytabs", "olext", "oneclick", "opencandy", "opendownloadmanager", "openinstall", "opensupdater", "opriupdater", "paper", "pennybee", "perion", "pirminay", "playgames", "playtech", "plicker", "podnuha", "pontoeb", "popad", "porntool", "powp", "prast", "premium", "presenoker", "primecasino", "proinstall", "puamson", "pullupdate", "qaccel", "qjwmonkey", "qqware", "razy", "redirect", "revizer", "ridapi", "ruanmei", "rubar", "sanctionedmedia", "sciagnij", "searchbar", "searchgo", "searchpage", "searchsetter", "secucharge", "shandaadd", "shenzhen", "shodi", "shopbot", "shopperpro", "shopperz", "shopro", "silentall", "simplified", "simplyinstaller", "slingup", "smal", "smartapps", "softobase", "softomate", "softpulse", "sogou", "somoto", "soulclose", "speedbit", "speedchecker", "speesipro", "spigot", "springtech", "stantinko", "startsurf", "stufffull", "sunnydigits", "surveyer", "syncopate", "talalpek", "taobao", "taojinstar", "taranis", "temonde", "tibsystems", "timesink", "tongji", "toptools", "torntv", "torrenteasy", "tsingsoft", "u8taskservice", "ubar", "unigo", "unwaders", "updater", "uptodown", "verti", "viddyhd", "vigram", "vimditator", "visicom", "vittalia", "vittaliaent", "vkontaktedj", "vonteera", "vosteran", "vrbrothers", "vstoolbar", "wajam", "webaltatoolbar", "webdevaz", "webdiscover", "webprefix", "whenu", "whimoo", "whiteclick", "widdit", "widgi", "winloadsda", "wizzmonetize", "woozlist", "wsgame", "xunleihd", "yiwanzhushou", "yobrowser", "youtubedownloaderguru", "youxun", "ytdownloader", "zamg", "zenosearch", "zugo"]}, "T1547": {"name": "Boot or Logon Autostart Execution (Winlogon/BHO)", "tactic": "Persistence", "families": ["2345explorer", "apropos", "bandook", "dllhijacker", "phtg", "zlob"]}, "T1486": {"name": "Data Encrypted for Impact", "tactic": "Impact", "families": ["27d3e5bc", "adcrypterlib", "amber", "amnesia", "apocalypse", "archsms", "atom", "badjoke", "bansomqare", "bitcovar", "bitman", "black", "blamon", "blihan", "blokrypt", "bsymem", "btcware", "cerber", "chimera", "cobalt", "crowti", "crusis", "cryakl", "cryfile", "crypmodadv", "crypren", "crypt0l0cker", "cryptconsole", "cryptear", "cryptojoker", "cryptolocker", "cryptomix", "crypton", "cryptos", "cryptowall", "cryptowire", "cryptredol", "cryptxxx", "cryrar", "crysis", "crytex", "datakeeper", "daws", "democry", "donex", "e2f3f4d", "eb149b", "elite", "elzob", "enigma", "evillocker", "fantom", "fastpc", "flinject", "fraudkrypt", "gandcrab", "gandcrypt", "genericrxbp", "genericrxdi", "genericrxed", "genericrxeh", "genericrxet", "genericrxex", "genericrxfh", "genericrxfp", "genericrxfs", "genericrxfu", "globeimposter", "golroted", "grandcrab", "grandcrap", "hackav", "hermes", "hiddentear", "hiddentears", "hydracrypt", "jigsaw", "jigsawlocker", "jobcrypter", "kaseya", "keyboarddisable", "killall", "krakencryptor", "krucky", "kryptpck", "kryptyk", "lockcrypt", "locky", "lockyc", "lucky", "matrix", "mbrlock", "metel", "milicry", "mongolock", "myransom", "obfusransom", "pajetbin", "paradise", "passcrypt", "pasta", "payer", "pckdflystudio", "polycrypt", "purga", "pycrypter", "pyinstaller", "qzonit", "rakhni", "ranion", "ranpax", "ranserkd", "ransim", "ransomheur", "ransomkd", "rantest", "redeye", "retribution", "rostpay", "saencrypt", "sage", "sagecrypt", "samas", "samsam", "satana", "satancrypt", "saturn", "satwancrypt", "scarab", "schoolboy", "schwarzesonne", "screen", "shade", "shezkrypt", "shinolock", "sigma", "sigrun", "snocry", "snow", "spora", "stampado", "stop", "sugar", "teslacrypt", "thanatos", "tonmye", "tovicrypt", "trialkiller", "trick", "troldesh", "upackdam", "urausy", "vbcryptor", "virlock", "vmpbad", "vortex", "wadhrama", "wannacry", "wdjiange", "wlock", "xdata", "xorist", "xxybsq", "xxybtw", "xxycbl", "xxycdl", "xxycec", "xxycff", "xxychs", "zepto", "zerber"]}, "T1490": {"name": "Inhibit System Recovery (Behaviorally blocking the deletion of backups)", "tactic": "Impact", "families": ["27d3e5bc", "adcrypterlib", "amber", "atom", "badjoke", "bansomqare", "behav", "bitcovar", "bitman", "black", "blamon", "blihan", "blokrypt", "bsymem", "btcware", "cerber", "chimera", "crowti", "crusis", "cryakl", "cryfile", "crypmodadv", "crypren", "crypt0l0cker", "cryptconsole", "cryptear", "cryptojoker", "cryptomix", "crypton", "cryptos", "cryptowall", "cryptowire", "cryptredol", "cryptxxx", "cryrar", "crysis", "crytex", "datakeeper", "daws", "deleter", "democry", "diskscanfa", "donex", "e2f3f4d", "eb149b", "elite", "elzob", "evillocker", "fantom", "fastpc", "flinject", "gandcrab", "gandcrypt", "genericrxbp", "genericrxdi", "genericrxed", "genericrxeh", "genericrxex", "genericrxfh", "genericrxfp", "genericrxfs", "genericrxfu", "globeimposter", "golroted", "grandcrab", "grandcrap", "hermes", "hydracrypt", "jigsaw", "jobcrypter", "keyboarddisable", "killall", "killdisk", "kmsactivator", "krakencryptor", "krucky", "kryptpck", "kryptyk", "lockcrypt", "locky", "lockyc", "lucky", "matrix", "milicry", "myransom", "obfusransom", "olympicdestroyer", "pajetbin", "paradise", "passcrypt", "pasta", "payer", "pckdflystudio", "petya", "polycrypt", "purga", "pycrypter", "pyinstaller", "qzonit", "ranpax", "ranserkd", "ransim", "ransomheur", "ransomkd", "rantest", "redeye", "retribution", "saencrypt", "sage", "sagecrypt", "samsam", "satana", "satancrypt", "saturn", "satwancrypt", "scarab", "schoolboy", "schwarzesonne", "shade", "shezkrypt", "shinolock", "sigma", "sign0fmisery", "sigrun", "snocry", "snow", "spora", "stampado", "stop", "sugar", "teslacrypt", "thanatos", "tonmye", "tovicrypt", "trialkiller", "upackdam", "vortex", "wadhrama", "wdjiange", "xdata", "xorist", "xxybsq", "xxybtw", "xxycbl", "xxycdl", "xxycec", "xxycff", "xxychs", "zepto", "zerber"]}, "T1082": {"name": "System Information Discovery", "tactic": "Discovery", "families": ["27d3e5bc", "adcrypterlib", "adposhel", "aenjaris", "agentb", "ainslot", "amdocssims", "apost", "autoruns", "azorult", "badjoke", "blackenergy", "blackhole", "blokrypt", "brambul", "bsvsebni", "casper", "chapak", "cobaltstrike", "cryptolocker", "dealply", "detnat", "dexel", "e2f3f4d", "eb149b", "evillocker", "fastpc", "flinject", "gandcrab", "genericrxbp", "genericrxdi", "genericrxed", "genericrxeh", "genericrxex", "genericrxfh", "genericrxfp", "genericrxfs", "genericrxfu", "gepys", "hawkeyekeylogger", "high", "hioles", "hmgfa45id4o", "indigorose", "installcore", "keyboarddisable", "killall", "lamer", "llac", "lokibot", "mailcheck", "mira", "moderate", "pckdflystudio", "petal", "pikabot", "pliskal", "prjraptor", "pyinstaller", "quasarrat", "ransim", "sagecrypt", "seznam", "swisyn", "trialkiller", "triusor", "tspy", "upackdam", "vittalia", "xxybsq", "xxybss", "xxybtw", "xxybuj", "xxybvi", "xxybwe", "xxybyu", "xxybzx", "xxycbl", "xxycdl", "xxycec", "xxycff", "xxychs", "zebrocy", "zpevdo"]}, "T1090.002": {"name": "Connection Proxy: External Proxy (Abusing the tool for routing)", "tactic": "Command and Control", "families": ["3proxy", "peed", "proxyagent", "socks", "turla", "xpaj"]}, "T1543": {"name": "Create or Modify System Process (Establishing persistence)", "tactic": "Persistence", "families": ["3proxy", "bersek", "lotoor", "sefnit", "wfpdisabler"]}, "T1110.001": {"name": "Brute Force: Password Guessing", "tactic": "Initial Access", "families": ["3proxy", "brambul", "bruteforce", "fspm", "ircbrute", "ircfast", "mirai", "morto", "nlbrute", "rbot", "sqlcrack", "wootbot", "wpakill", "xscan"]}, "T1189": {"name": "Drive-by Compromise", "tactic": "Initial Access", "families": ["4shared", "aauto", "accelerator", "adaebook", "addlyrics", "addmepoint", "adgazelle", "adinstaller", "adkor", "adkubru", "admedia", "adspy", "advancedpccare", "advload", "adwapper", "allstars", "alot", "anyprotect", "appscience", "appset", "asktoolbar", "autocleanpro", "autofixerpro", "autohit", "axespec", "baidu", "baidusearch", "bandoo", "bedep", "bitman", "blackhole", "bloored", "bonkyhp", "browseban", "browsefox", "browshot", "bundleloader", "bundlore", "bunndle", "byfh", "bytefence", "candybox", "candyopen", "casinoonline", "casper", "catalina", "chatzum", "chextad", "chindo", "clickmein", "clickshell", "cloudguard", "cloudscout", "cnbtech", "cnsmin", "codecpa", "cognosads", "conduit", "convertad", "coupons", "crawler", "daum", "deceptpcclean", "deepscan", "dinwod", "directdownloader", "dlassistant", "dlboost", "dlguide", "dnschanger", "dnscleaner", "domaiq", "dotbundle", "dotdo", "dovs", "downloadadmin", "downloadshield", "downloadsoft", "doyo", "driverassist", "drivertalent", "driverupdate", "driverupdater", "drmsoft", "egroupdial", "eitu", "epicscale", "exfriendalert", "expressdownloader", "expstart", "extenbro", "extinstaller", "eyooun", "ezula", "fakecoder", "fakehack", "fakeoff", "fakeransom", "fakesmoke", "faketool", "firehooker", "fleercivet", "flvdownloader", "forcestartpage", "fotopapps", "freenew", "fsysna", "fuerboos", "fullscreen", "fusioncore", "gamebox", "gamevance", "gamsoft", "gamsofts", "gator", "globalupdate", "gocloudnet", "google", "gotango", "gt32supportgeeks", "havex", "helper", "heye", "hezhi", "hiddeninstall", "hijacker", "hoax", "hotbar", "hotdownloads", "hpdefender", "hydracrypt", "icloader", "idlebuddy", "imestartup", "inbox", "incredimail", "inno", "installcore", "installflash", "installiq", "installm", "installmate", "installmetrix", "installmonetizer", "installmonster", "installpack", "instally", "instmonster", "istartsurf", "itorrent", "itranslator", "jacard", "jetmedia", "joosoft", "kaymundler", "keywordfind", "kingsoft", "kuaiba", "kuping", "libie", "linkular", "linkury", "lollipop", "lulusoftware", "lurk", "lyrics", "magala", "mapsgory", "marketscore", "maxdriver", "medfos", "mediafinder", "mediaget", "mediamagnet", "mediamine", "menti", "microfake", "miuref", "mobogenie", "mods", "mogoogwi", "monder", "moneyinst", "multibar", "multiplug", "mybeesearch", "mycleanpc", "mypcbackup", "navipromo", "neobar", "nieguide", "noon", "nspm", "offergenerator", "offerinstall", "ohmytabs", "oneclick", "oneclickdownloader", "oneinstaller", "onescan", "onesystemcare", "opencandy", "openshopper", "opensupdater", "optimizer", "p2pworm", "patchupplus", "pcacceleratepro", "pcclean", "pccleaner", "pccleanup", "pckeeper", "pcmedic", "pcmega", "pcopticlean", "pennybee", "perion", "pirminay", "playtech", "popwin", "porntool", "powp", "premium", "presenoker", "primecasino", "progressive", "proinstall", "puamson", "pullupdate", "purityscan", "qaccel", "qqware", "redirect", "regcure", "regcurepro", "relevantknowledge", "restoro", "reveton", "revizer", "runbooster", "russoturisto", "safeterra", "sathurbot", "sciagnij", "screenmate", "searchgo", "searchpage", "security", "securityshield", "shandaadd", "shenzhen", "shipup", "shodi", "shopbot", "shopro", "silentall", "simda", "simpleregistrycleaner", "simplified", "simplyinstaller", "singleclickoptimizer", "singleclickreg", "slimdrivers", "slimware", "slingup", "smal", "smartfortress", "smartinstaller", "smartpctweaker", "smheist", "soft32dl", "softobase", "softomate", "sogou", "spammy", "speedbit", "speedcat", "speedchecker", "speedingupmypc", "speesipro", "spigot", "spora", "squarenet", "ssprotect", "startpa", "startsurf", "strongpity", "stufffull", "sunnydigits", "superthreat", "surveyer", "systemcare", "systimizer", "systweak", "sysupdate", "taranis", "tencent", "teslacrypt", "tibs", "timesink", "toggle", "toptoo", "toptools", "torntv", "torrenteasy", "trash", "trickster", "tsingsoft", "ubar", "unruy", "unwaders", "upadter", "updater", "updatestar", "uptodown", "verti", "vigram", "vimditator", "virtumonde", "viruscure", "visicom", "vkontaktedj", "vonteera", "vosteran", "vrbrothers", "vstoolbar", "webaltatoolbar", "webcompanion", "webdevaz", "webdiscover", "webprefix", "wews", "wgapatch", "widdit", "widgi", "winloadsda", "winlock", "wintaskad", "wintrim", "winwebsec", "wisesystemmechanic", "woool", "woozlist", "wronginf", "wsgame", "xiaoxiong", "xkit", "yobrowser", "youxun", "ytddownloader", "ytdownloader", "zerber"]}, "T1055.002": {"name": "Process Injection: Portable Executable Injection", "tactic": "Defense Evasion", "families": ["5z0ba4mkpih", "amgfaohk2uf", "caae34dd", "cmgfaeflb9e", "expiro", "explorerhijack", "gamehack", "infector_ng_2004", "jeefo", "kasidet", "kz4aamkfbloj", "lpt8mkfbyfsjgnkb", "mi0ax8mhb4ji", "msilpack", "neshta", "nuclear_rat", "serenity_rat", "tmgfayxalbaj"]}, "T1059": {"name": "Command and Scripting Interpreter", "tactic": "Execution", "families": ["a_311_death", "acid_drop", "aero", "agen", "agiala", "akcom", "aksula", "alvabrig", "amiboide", "amtgimon", "animus", "anprot", "aotoit", "apocalypse_rat", "aseye", "asianraw", "asym", "atmrod", "atmulator", "atomicrat", "atomix", "autit", "babel", "babonock", "bacalid", "back_orifice", "bamital", "bamsupr", "bandok", "batton", "beast", "beastdoor", "bedefco", "benban", "bersek", "bertle", "bhosta", "bhxu", "binderon", "bindex", "bindjpg", "bisonal", "bitrepeyp", "bkff", "bnqp", "bototer", "bozok", "bredolab", "bridex", "broskod", "btcon", "bumat", "bump_rat", "burden", "burnwoo", "cachedis", "carrobat", "caxnet", "ceram", "cfms", "chinbo", "chir", "chopper", "ciadoor", "cinmus", "client", "cliptoshuffler", "coced", "code", "conju", "corpse", "covus", "cqst", "cromptui", "cryptominer", "cshv", "cussteel", "cvky", "cxkh", "cxkj", "dalatar", "dalt", "darkcyrene", "darsing", "datpol", "davy", "deau", "defsel", "destructbot", "devilz", "diamin", "dicsor", "district", "ditertag", "dluca", "dlzp", "donise", "donloz", "donn", "dorgam", "doser", "dowanun", "downexec", "dragonbot", "dsbot", "duduunion", "dungcoi", "dunik", "duon", "dzan", "effbee", "elite", "emathi", "emudbot", "erazer", "erazer_lite", "esendi", "eskimo", "estrella", "exchanger", "exescript", "exksws", "fakedos", "fakeplayer", "fbng", "fire", "flawedammyy", "foler", "folstart", "food", "fosniw", "frethoq", "frosparf", "gaofenq", "garvi", "gate", "gdsda", "gendelfan", "gendwnurl", "genericrxat", "genericrxcd", "genericrxch", "genericrxcs", "genericrxet", "genericrxgq", "genericrxgr", "gentromal", "ggdoor", "giri", "globim", "gosys", "gplyra", "gpukj", "grandcrap", "graz", "gruel", "haed", "haknata", "hamer", "hamweq", "hangup", "heriplor", "hioles", "honk", "hookmoot", "hqsi", "iczu", "imps", "inor", "inrogatio", "insebro", "jakuz", "jevafus", "jinda", "jusabli", "kabymj", "kastenl", "kavos", "keenm", "kelvir", "keydoor", "kheagol", "killapp", "kiser", "klozet", "komilet", "korad", "koutodoor", "krachulka", "kranet", "kryptstarter", "kura", "lanxue", "lemoore", "linkhortry", "litmus", "liusky", "lockyc", "loops", "loring", "losabel", "lowzones", "loyeetro", "lozer", "lucky", "luminorat", "mailbot", "malkryp", "malwar", "malxmr", "meinv", "meno", "milicry", "mirc", "mmorpg", "mmxmr", "mosucker", "mozla", "msilbot", "multidl", "muma", "mupx", "murka", "musclecar", "naffy", "nagram", "netbus", "netdevil", "newheur", "nilaspo", "nion", "nistio", "nitter", "npgi", "nussamoc", "oasisminus", "obrypser", "oflwr", "omyaamfbexii", "optix", "orcusrot", "oremu", "otorunq", "oxynoxy", "oyom", "pabin", "padmer", "pastraw", "pasur", "pclnt", "penzievs", "pepex", "perez", "petal", "phires", "phnu", "phpain", "phtg", "pidmecc", "pipo", "pitin", "plasma", "platan", "plead", "plugs", "pondfull", "porex", "potukorp", "poxters", "prex", "procgmar", "proteus", "psshell", "pulobe", "puontib", "purgory", "pyme", "qdownb", "ragua", "ranion", "ranna", "rapidpass", "rasch", "redgirl", "remote", "remotehack", "remoxec", "reposfxg", "retribution", "reymbz", "reyptson", "rialega", "ridnu", "rozenaa", "rvrat", "sadredi", "safebreas", "sakto", "sankei", "sbdld", "scarcruft", "scomma", "scoopy", "scrami", "sdrop", "selcry", "sennoma", "senta", "sfdld", "sfuzuan", "sharer", "shell", "shellcodef", "shellme", "siho", "sillyp2p", "sisron", "sloddat", "snare", "sneepy", "snow", "sonbokli", "spamer", "spamha", "specx", "spook", "staget", "strat", "subroate", "suixin", "suviapen", "swog", "talmad", "tartober", "tcdrop", "teambot", "tear", "tedroo", "tgrandongc", "tierry", "tikoog", "tinclex", "tivmonk", "tobor", "tomegun", "tosthin", "totbrick", "tracur", "trilon", "trioris", "tron", "troxa", "tukrina", "tyuimoi", "ubot", "udslee", "urcs", "uruasy", "vakcune", "virgilio", "vitruvian", "vixup", "vortex", "votchsys", "vtub", "walerlop", "wansrog", "wavipeg", "webbrowserpassview", "webdown", "whiteice", "windang", "winiga", "woripecs", "xcomp", "xxyeut", "yolov", "yuri", "zanoza", "zdowbot", "zenfly", "zilix", "zjek", "zonebac", "zonobindi", "zudochka", "zvrek", "zxor"]}, "T1056.001": {"name": "Keylogging", "tactic": "Credential Access", "families": ["a_311_death", "activitymonitor", "adwind", "agenttesla", "allinonekeylogger", "apost", "ardamax", "asktoolbar", "atomicrat", "atraps", "autohk", "ayolog", "babar", "babel", "banbra", "bancos", "bandok", "bank", "beastdoor", "berbew", "bestafera", "beyondkeylogger", "bifrose", "bitwallet", "blackmoon", "bladabindi", "bnksa", "bolik", "buzus", "cardinal", "chthonic", "computty", "confucius", "cool_remote_control", "coolvibes", "cosmicduke", "cosmu", "cussteel", "cybergate", "darkgate", "darkhotel", "darkkomet", "delf", "dimnie", "disfa", "dorkbot", "dragonbot", "ekstak", "elitekeylogger", "esfury", "eyestye", "familykeylogger", "farfli", "fearless_key_spy", "fearless_lite", "finfish", "firehooker", "flymux", "formbook", "freekeylogger", "frethog", "gamania", "gamehuck", "gamethief", "gampass", "ganelp", "gator", "gh0st", "ghost", "gorgon", "gozi", "goznym", "gracewire", "guagua", "habbo", "hack_a_tack", "hakopsbot", "harvester", "hav_rat", "hawkeyekeylogger", "hematite", "himera", "hooker", "hotbar", "hotkeyshook", "hploki", "hupigon", "hyperbro", "icecold_reloaded", "icedid", "imminent", "immirat", "inbox", "infector_ng_2004", "informer", "institution_2004", "jacksbot", "jbonblanc", "karamanak", "kasidet", "kbot", "keybase", "keyboarddisable", "keydoor", "keyer", "keylogr", "kgbspy", "khalesi", "kolabc", "kradword", "krbanker", "krilog", "kura", "laqma", "lightlogger", "lineage", "llac", "logicielsespions", "lokibot", "lolbot", "lost_door", "lsslogger", "luminorat", "magania", "mailspy", "mansabo", "maplestory", "mekotio", "memery", "meterpreter", "mewsspy", "mintluks", "mmorpg", "monitoringtool", "monitortool", "mousedisable", "msilperseus", "mumawow", "nanocore", "nemesis", "neobar", "netdevil", "netshadow", "netwiredrc", "nitol", "nivdort", "njlogger", "nuclear_rat", "olgames", "optix", "orcus", "orcusrat", "orcusrot", "peepviewer", "peflog", "perflogger", "phpw", "plasma", "poison", "ponystealer", "predator", "predatorthief", "prorat", "pykspa", "qqpass", "qqrob", "qqshou", "qqspy", "quasarrat", "rasoon", "rbot", "realspy", "rebhip", "redaman", "redsip", "refog", "refogkeylogging", "relevantknowledge", "remcos", "remote", "remotehack", "remoxec", "revealerkeylogger", "revengerat", "ribaj", "rockrat", "rvrat", "scarcruft", "schoolbus", "serenity_rat", "shark", "shiz", "shutdowner", "sinowal", "smheist", "snarasite", "snifula", "snojan", "socelars", "sogou", "spector", "spectorpro", "sphinx", "spyagent", "spyboter", "spyeye", "spygate", "spynet", "spyrecon", "spyrix", "spytech", "spytector", "spywork", "stalk", "stop", "streespyer", "suixin", "superspy", "tanspy", "tear", "teramind", "tibia", "tiklog", "tinba", "toggle", "trainer", "travnet", "trojanbanker", "tspy", "turkojan", "universal1337", "urelas", "vbkeylog", "vbklog", "veriato", "vidarstealer", "waldek", "webwatcher", "winspy", "woool", "xrat", "xtrat", "yahoopass", "yunsip", "yuri", "zegost", "zeusvm", "zonobindi", "zxshell", "candiru"]}, "T1569": {"name": "System Services", "tactic": "Execution", "families": ["a_311_death"]}, "T1562.001": {"name": "Impair Defenses: Disable or Modify Tools", "tactic": "Defense Evasion", "families": ["aauto", "accelerator", "activator", "adaebook", "adbreak", "addlyrics", "addrop", "adgazelle", "adkubru", "adpernok", "advancedpccare", "adwapper", "adwaresig", "aero", "allstars", "alnaddy", "antavmu", "antivirus", "appscience", "appset", "appster", "archsms", "autocleanpro", "autofixerpro", "autoit", "avkiller", "awangba", "backboot", "baidu", "baidusearch", "bancobras", "bandoo", "banload", "beebone", "betabot", "bitmin", "black", "blackenergy", "bloored", "bonkyhp", "boychi", "brontok", "browseban", "browsefox", "btcon", "bundlore", "bunitu", "bunndle", "byfh", "bypass", "bypassuac", "candybox", "candyopen", "carberp", "catalina", "cheatengine", "chextad", "chindo", "cia", "cleanlog", "cleanpcpro", "clearsearch", "clickmein", "cloudscout", "cnbtech", "cnsmin", "cognosads", "coinloader", "collector", "comine", "comproc", "conduit", "conficker", "convertad", "coupons", "cryfile", "cryptconsole", "cryptominer", "crysis", "cuegoe", "daum", "deceptor", "defaulttab", "dial", "dinwod", "directdownloader", "disabler", "diskscanfa", "dlguide", "dlsecure", "dlsponsor", "dnschange", "dnschanger", "dnscleaner", "domaiq", "donut", "dorkbot", "dotbundle", "dotdo", "doubleagent", "dovs", "downloadadmin", "downloadsoft", "doyo", "driverbooster", "driverdevelop", "driverturbo", "drmsoft", "egroupdial", "eitu", "explorerhijack", "extcrome", "extenbro", "extinstaller", "eyooun", "ezsearch", "fakeal", "fakeoff", "fakeransom", "fakerean", "fakesmoke", "fakesupport", "fakesysdef", "faketool", "familykeylogger", "feebs", "filepatch", "filetour", "flowspirit", "flux", "flystudio", "forcestartpage", "fotopapps", "fraud", "freekeylogger", "fuerboos", "fusioncore", "game", "gamebox", "gamehack", "gamemodding", "gamevance", "genericrxdw", "genkmsp", "gibe", "gocloudnet", "gotango", "gruel", "gt32supportgeeks", "hackav", "helper", "hezhi", "hideproc", "hijacker", "hoax", "hosts", "hostschanger", "hostseditor", "hostspatcher", "hotdownloads", "hotkeyshook", "hpdefender", "hue", "icloader", "idlekms", "iezones", "imestartup", "indiloadz", "inno", "installm", "installmetrix", "installmonster", "instally", "instmonster", "istartsurf", "itorrent", "itranslator", "jacard", "jeefo", "jetmedia", "joosoft", "jps", "jps_virus_maker", "kaymundler", "kelvir", "keywordfind", "kgen", "kido", "killall", "killapp", "killproc", "klez", "kmsactivator", "kraken", "krbanker", "kuaiba", "kuping", "libie", "linkular", "lockcrypt", "look2me", "ludbaruma", "lyrics", "magic", "mapsgory", "matrix", "maxsecure", "medfos", "mediafinder", "mediamine", "megasearch", "menti", "messiah", "microfake", "midie", "mirai", "mobogenie", "mods", "mogoogwi", "mokssteal", "molebox", "monder", "mousedisable", "multibar", "multiminer", "multiplug", "mybeesearch", "mycleanpc", "mytob", "navipromo", "necurs", "netdevil", "netsphere", "neurevt", "ngrbot", "nieguide", "nircmd", "nitol", "noon", "nssm", "ntkrnl", "ntrootkit", "nyxem", "offergenerator", "offerinstall", "ohmytabs", "oneclick", "oneclickdownloader", "oneinstaller", "onescan", "onesyscare", "openshopper", "optispeed", "optix", "orangedefender", "pandex", "passcrypt", "patch", "pcacceleratepro", "pcbooster", "pccleaners", "pccleaningutility", "pccleanplus", "pccleanup", "pcfixer", "pchealthboost", "pcmedic", "pcmega", "pcopticlean", "pcrepair", "pcreviver", "pcvark", "pennybee", "perfectoptimizer", "perion", "picsys", "pirminay", "playtech", "polycrypt", "pornblackmailer", "pornoblocker", "powerspritz", "powerun", "powp", "powstage", "premium", "prochack", "procpatcher", "proinstall", "protector", "proxygate", "psshell", "purga", "pyme", "qaccel", "qhost", "ramnit", "razy", "realspy", "regcurepro", "regger", "removewga", "reptile", "restoro", "retefe", "reveton", "revizer", "riodrv", "rkit", "rontokbr", "rootkitdrv", "russoturisto", "safebytes", "sality", "satwancrypt", "schwarzesonne", "scramupx", "searchgo", "searchpage", "searchprovide", "security", "securityshield", "seeav", "seznam", "shenzhen", "shezkrypt", "shinolock", "shipup", "shiz", "shodi", "shopro", "sigma", "silentinstall", "simpleregistrycleaner", "singleclickreg", "slimware", "slowpcfighter", "smartapplicationcontroller", "smartassembly", "smartfortress", "smartinstaller", "smartpctweaker", "smokeloader", "smshoax", "snocry", "soft32dl", "softcdn", "softomate", "sogou", "sohanad", "sokuxuan", "somoto", "spammy", "specialsearchoffer", "speedingupmypc", "speesipro", "spigot", "spynomore", "spypro", "spyrix", "ssprotect", "startpa", "startsurf", "stormattack", "streamer", "sunnydigits", "superthreat", "swpatch", "sysn", "systemhijack", "systimizer", "systweaker", "taranis", "taskkill", "taterf", "teamviewer", "tencent", "terabit_virus_maker", "tiggre", "timesink", "tofsee", "toptoo", "torrenteasy", "trick", "tsingsoft", "u8taskservice", "ubar", "unruy", "unwaders", "updatestar", "uptodown", "urausy", "vawtrak", "vbclone", "verti", "vigram", "viking", "vilsel", "vimditator", "virtumonde", "viruscure", "vonteera", "vprotect", "vrbrothers", "vtflooder", "vundo", "w10tweak", "wadhrama", "wajam", "webdevaz", "webdialer", "webdiscover", "webprefix", "webwatcher", "wfpdisabler", "wgapatch", "widdit", "widgi", "winactivator", "winevar", "winloadsda", "winlock", "winreg", "winshow", "winspeedup", "winwebsec", "winwrapper", "wisesystemmechanic", "woozlist", "wpepro", "wronginf", "wsgame", "xdata", "xiaobaminer", "xiaoxiong", "xmrigminer", "xmrminer", "xunleihd", "yahlover", "yobrowser", "youxun", "zacinlo", "zafi", "zdengo", "zepfod", "zero", "zlob", "zugo", "zwangi"]}, "T1083": {"name": "File and Directory Discovery", "tactic": "Discovery", "families": ["acid_drop", "ausiv", "back_orifice", "benjamin", "bitman", "blamon", "blihan", "collector", "crusis", "cryptos", "cryptowall", "cyn", "democry", "elzob", "expiro", "filefinder", "gandcrypt", "golroted", "grenam", "hydracrypt", "jeefo", "johnnie", "kates", "krucky", "myransom", "neshta", "pajetbin", "parite", "pasta", "pony", "prjraptor", "pyfiledel", "qzonit", "ransomkd", "reconyc", "schoolboy", "serenity_rat", "simbot", "sinique", "stampado", "stop", "strongpity", "sytro", "teslacrypt", "tonmye", "tovicrypt", "trojna", "ulysses", "universal1337", "vampire", "vbcryptor", "vbs_worm_generator", "virledi", "wannacry", "wdjiange", "xorist", "xpaj", "y3k_rat", "z_dem0n", "zombierat"]}, "T1113": {"name": "Screen Capture", "tactic": "Collection", "families": ["activitymonitor", "allinonekeylogger", "apocalypse_rat", "apost", "ardamax", "atomicrat", "azorult", "babar", "babel", "bandook", "beastdoor", "bestafera", "beyondkeylogger", "chthonic", "cool_remote_control", "cosmicduke", "cosmu", "cussteel", "cybergate", "darkkomet", "disfa", "ekstak", "elitekeylogger", "farfli", "ghost", "guagua", "hack_a_tack", "hav_rat", "hawkeyekeylogger", "hupigon", "icecold_reloaded", "iespy", "immirat", "informer", "keybase", "keydoor", "kgbspy", "khalesi", "lightlogger", "lost_door", "magania", "mmorpg", "monitoringtool", "monitortool", "nanocore", "nemesis", "netdevil", "netshadow", "netwiredrc", "nuclear_rat", "olgames", "optix", "orcusrat", "peflog", "perflogger", "phpw", "qqpass", "qqspy", "quasarrat", "realspy", "refog", "refogkeylogging", "remcos", "rvrat", "shark", "snojan", "spector", "spectorpro", "spyagent", "spygate", "spyrecon", "spyrix", "spytech", "spytector", "spywork", "stalk", "stream_rat", "subseven", "suixin", "superspy", "synrat", "teramind", "travnet", "turkojan", "ulysses", "urelas", "vampire", "veriato", "webwatcher", "winspy", "xrat", "xtrat", "y3k_rat", "z_dem0n", "zegost", "zombierat", "candiru"]}, "T1048.003": {"name": "Exfiltration Over Alternative Protocol (Exfiltration via SMTP/Email)", "tactic": "Exfiltration", "families": ["activitymonitor", "agenttesla", "allinonekeylogger", "beyondkeylogger", "collector", "filefinder", "gamania", "hpfareit", "hydrapos", "informer", "ipswitch", "loki", "lsslogger", "mapstosteal", "mokssteal", "negasteal", "njlogger", "redator", "separ", "socstealer", "spyrecon", "spytector", "tibia", "universal1337", "vbkeylog", "vbklog"]}, "T1543.003": {"name": "Create or Modify System Process: Windows Service", "tactic": "Persistence", "families": ["activitymonitor", "adanti", "adkubru", "agobot", "allinonekeylogger", "allstars", "alvabrig", "arcdoor", "autoruns", "backboot", "bandoo", "bayrob", "bisonal", "bobax", "bonkyhp", "bytefence", "candybox", "cardspy", "chextad", "cognosads", "cuegoe", "defaulttab", "domaiq", "dsbot", "eitu", "enfal", "flawedammyy", "fotopapps", "freekeylogger", "gamevance", "gate", "gh0st", "ghost", "globalupdate", "golem", "hematite", "hezhi", "hijacker", "huntpos", "hydrapos", "immirat", "karamanak", "kingsoft", "kolabc", "komodia", "kuaizip", "kwampirs", "laqma", "libie", "liuliangbao", "lollipop", "luhn", "lyrics", "mailbot", "manuscrypt", "medfos", "mediamine", "morto", "mosucker", "multiminer", "neutrinopos", "nssm", "ntrootkit", "openshopper", "opensupdater", "patchupplus", "picsys", "primecasino", "proxyagent", "psexec", "pullupdate", "radmin", "relevantknowledge", "remoteadmin", "remotemanipulator", "riodrv", "rkit", "rootkitdrv", "rpdpatch", "russoturisto", "screenconnect", "shandaadd", "simda", "snake", "snare", "softcnapp", "spammy", "spyagent", "spyrecon", "squarenet", "startp", "startpa", "sysn", "tencent", "tibs", "toptoo", "u8taskservice", "vanbot", "vilsel", "vosteran", "wdfload", "webcompanion", "webwatcher", "winactivator", "windang", "winexe", "winexec", "winsecsrv", "winvnc", "wizzmonetize", "xyntservice", "zepfod", "zxshell"]}, "T1566": {"name": "Phishing", "tactic": "Initial Access", "families": ["adanti", "bozok", "habbo", "hosts", "sharer", "yabinder"]}, "T1185": {"name": "Browser Session Hijacking (Ad injection and tracking)", "tactic": "Collection", "families": ["adbreak", "adkor", "adpernok", "adpower", "adspy", "adwaresig", "aero", "amavaldo", "awangba", "axespec", "backswap", "baiduwrapper", "banbra", "bancobras", "bancos", "bancteian", "bankoren", "banks", "bayrob", "bebloh", "betabot", "bettersurf", "bhoint", "blackmoon", "bnksa", "bolik", "boxter", "boychi", "bplug", "byfh", "bzub", "carberp", "cashfiesta", "chatzum", "chthonic", "clearsearch", "cnnic", "corebot", "couponmarvel", "crawler", "cridex", "cycbot", "dorkbot", "downloadhelper", "emarketing", "exent", "expiro", "ezsoftwareupdater", "ezula", "fakeff", "favadd", "firehooker", "flowspirit", "flvdirect", "freenew", "gamevance", "gemius", "genericrxad", "gozi", "goznym", "guildma", "heye", "hpursnif", "hvnc", "iezones", "installbar", "komodia", "koobface", "lollipop", "look2me", "magala", "medialabs", "mediamagnet", "mediana", "meikehuayi", "mekotio", "miuref", "mostofate", "multibanker", "mutabaha", "mydisksu", "mytonel", "napolar", "neurevt", "nhopro", "nivdort", "nottotrack", "nspm", "offerbox", "olext", "palevo", "papras", "pontoeb", "porntool", "primecasino", "pwszbot", "qadars", "ramnit", "redaman", "redirected", "redyms", "retefe", "ridapi", "roboinstall", "ruanmei", "sanctionedmedia", "searchprovide", "secucharge", "seznam", "shandaadd", "shiotob", "shiz", "shopbot", "shopperpro", "shylock", "simplified", "sinowal", "slingup", "smal", "softcdn", "softobase", "sokuxuan", "specialsearchoffer", "speedbit", "sphinx", "springtech", "streamer", "stufffull", "surveyer", "taobao", "taojinstar", "tinba", "tinukebot", "toptools", "torntv", "ursnif", "vawtrak", "viddyhd", "virut", "visicom", "wajam", "webcompanion", "whiteclick", "winshow", "wizzmonetize", "yiwanzhushou", "ytdownloader", "zacinlo", "zamg", "zeusvm", "zusy", "zwangi"]}, "T1027.002": {"name": "Obfuscated Files or Information: Software Packing", "tactic": "Defense Evasion", "families": ["adcrypterlib", "addrop", "armadillo", "autit", "autoit", "banpak", "beebone", "bmgfrznl2gfaa", "bmsdus4ufhei", "celesty", "cmhfbw9r", "confuser", "cryptexe", "cryptinject", "cryptpack", "dnguard", "dynamer", "encryptpe", "enigma", "enigmaprotector", "exebinder", "exescript", "eziriznetreactor", "fakecoder", "flystudio", "fmgfagns0sge", "fsysna", "genericrxax", "genericrxbu", "genericrxbz", "genericrxel", "genericrxen", "genericrxeo", "genericrxep", "genericrxer", "genericrxev", "genericrxew", "genericrxgb", "genericrxgf", "genericrxgk", "genericrxgl", "geni", "genkryptik", "hg8absxocmcj", "installmate", "kgen", "kjwar5ju8ibgb", "kmuaaovs", "kryptpck", "launcher", "lixeaqbyzsj", "magic", "malwarecrypter", "manuscrypt", "mmnfbgfpueki", "molebox", "moleboxultra", "moleboxvs", "morphine", "msildrop", "msilinj", "msilpack", "msilperseus", "multidropper", "mz0a4gxuisb", "netshrink", "nmkfacwya3cg", "noobyprotect", "noupack", "npack", "obsidium", "omgfamcremci", "parite", "pckdflystudio", "pef13c", "pespin", "ponmocup", "prepscram", "pynamer", "pyspy", "reconyc", "rmkefdlslaoi", "rz0auircb0di", "scar", "scramupx", "smartassembly", "uiwao0sam", "uiwaowr6xsaje", "uk_splitter", "umgfxgkazyg", "umqabaxnjogc", "unpacked", "upackdam", "vbcryptor", "vbinder", "vbkryjetor", "vmjfbex4hpjj", "vmpbad", "vmprotbad", "werpoapt", "wi0abyrjybki", "winload", "wmqarhe5p8fbt", "xizfawwyz0ab", "xnhmeb", "xxyfhz", "za0au42rofm", "zy0baazvyqni"]}, "T1055.012": {"name": "Process Injection: Process Hollowing (RunPE)", "tactic": "Defense Evasion", "families": ["adcrypterlib", "autit", "autoit", "autoitscript", "cardinal", "chthonic", "ciadoor", "cobaltstrike", "comine", "cpuminer", "cryptexe", "cryptpack", "delphinjector", "dfay", "dimnie", "dllinject", "flinject", "formbook", "gamarue", "genericrxau", "genericrxed", "genericrxeh", "genericrxfh", "genkryptik", "gracewire", "grandcrab", "injeber", "injectorlib", "kbot", "khalesi", "kovter", "launcher", "loki", "lokibot", "malwarecrypter", "memery", "mine", "moleboxvs", "msildrop", "msilinj", "msilpack", "multiinjector", "murka", "nanocore", "occamy", "penzievs", "prepscram", "processhijack", "proteus", "rakhni", "remcos", "skeeyah", "spygate", "unpacked", "vbcryptent", "vbcryptor", "vbkryjetor", "wdfload", "yakes"]}, "T1539": {"name": "Steal Web Session Cookie (Abusing active authenticated sessions to perform social media fraud)", "tactic": "Credential Access", "families": ["addmepoint", "arkeistealer", "azorult", "cookiesstealer", "darkvnc", "exfriendalert", "fareit", "flymux", "gamehuck", "gemius", "habbo", "harvester", "himera", "mokssteal", "predatorthief", "rasoon", "socelars", "socstealer", "staem", "vidarstealer", "vkbase", "candiru"]}, "T1136.001": {"name": "Create Account: Local Account (net user /add)", "tactic": "Persistence", "families": ["adduser"]}, "T1136.002": {"name": "Create Account: Domain Account", "tactic": "Persistence", "families": ["adduser"]}, "T1059.003": {"name": "Command and Scripting Interpreter: Windows Command Shell", "tactic": "Execution", "families": ["adduser", "aenjaris", "ainslot", "arcdoor", "ardamax", "ausiv", "autoruns", "backboot", "banload", "batlauncher", "bitmin", "black", "blackenergy", "bladabindi", "browserpassview", "bruteforce", "cassiopeia", "chapak", "cheatengine", "clearlog", "cobaltstrike", "commandcam", "crytex", "cybergate", "detnat", "dexel", "dfay", "disfa", "dorifel", "drolnux", "ekstak", "farfli", "flux", "gandcrab", "gandcrypt", "garrun", "gepys", "gh0st", "gtbot", "guagua", "hafen", "hav_rat", "hermes", "hidcon", "hiddeninstall", "hiddentears", "hoax", "hue", "hupigon", "icecold_reloaded", "infector_ng_2004", "infinitetear", "installcore", "institution_2004", "ipamor", "ircbot", "jbonblanc", "johnnie", "jps", "karagany", "kelihos", "killdisk", "killproc", "kolab", "konni", "koobface", "kuluoz", "lamer", "lethic", "liudoor", "lolbot", "lost_door", "ludbaruma", "maener", "mailpassview", "manuscrypt", "messengerpass", "messiah", "midie", "minerbat", "miniduke", "mira", "moonpie", "necurs", "netcat", "netsky", "netsphere", "netwiredrc", "neutrinopos", "nirsoft", "nssm", "nuclear_rat", "nukesped", "passview", "passwordfox", "pbot", "phpw", "pioneer", "pliskal", "poison", "pony", "prjraptor", "qhost", "quasarrat", "razy", "regrun", "regsup", "remexi", "revengerat", "rockrat", "rustock", "salgorea", "sbdbat2exe", "scarab", "scarsi", "schoolbus", "screenconnect", "sdbot", "seed", "separ", "serenity_rat", "sfone", "shellme", "shutdown", "simbot", "sinique", "skeeyah", "slefdel", "snojan", "spynet", "stop", "storm", "subseven", "sugar", "swisyn", "swrort", "synrat", "sytro", "taskkill", "terabit_virus_maker", "termite", "triusor", "trojna", "tsklnk", "turkojan", "uk_splitter", "ulysses", "vampire", "vobfus", "wabot", "winnti", "winshell", "winwrapper", "xmrig", "xrat", "xtrat", "y3k_rat", "yakes", "younglotus", "z_dem0n", "zegost", "zombierat", "zpevdo", "zxshell"]}, "T1574.001": {"name": "Hijack Execution Flow: Search Order Hijacking (DLL Wrapping)", "tactic": "Defense Evasion", "families": ["adkdllwrapper", "bypassuac", "dllhijack", "dllhijacker", "eskimo", "filepatch", "patch", "spook"]}, "T1505.003": {"name": "Server Software Component: Web Shell (The core backdoor mechanism)", "tactic": "Persistence", "families": ["adodb", "adylkuzz", "chopper", "shell"]}, "T1190": {"name": "Exploit Public-Facing Application (The typical initial infection vector)", "tactic": "Initial Access", "families": ["adodb", "agobot", "amnesia", "blackhole", "blasterx", "chopper", "cpuminer", "gameserver", "gorgon", "ipswitch", "kaseya", "klez", "krepper", "minerbot", "mongolock", "predator", "rpcdcom", "tftpd"]}, "T1059.005": {"name": "Command and Scripting Interpreter: Visual Basic (VBScript within the ASP file)", "tactic": "Execution", "families": ["adodb", "autohk", "autoitscript", "autophyte", "cerber", "emotet", "emotetn", "gamaredon", "hancitor", "hkautoit", "jenxcus", "kovter", "loveletter", "macrodrop", "psyme", "rietspoof", "scribble", "scriptkd", "vbcode", "vbdrop", "vbmod", "vbs_worm_generator", "vjworm", "vxidl", "zepto"]}, "T1071.001": {"name": "Application Layer Protocol: Web Protocols (C2 Communication)", "tactic": "Command and Control", "families": ["adposhel", "adwind", "aenjaris", "agentb", "agobot", "ainslot", "alyak", "amonetize", "arcdoor", "asktoolbar", "aspxor", "ausiv", "autohit", "autohk", "azorult", "babar", "backboot", "banload", "barys", "berbew", "black", "blackenergy", "blackmoon", "browserio", "bsymem", "carberp", "cardinal", "cardtool", "cassiopeia", "cerber", "chapak", "chopper", "chthonic", "ciadoor", "clickshell", "client", "clipspy", "cosmicduke", "cosmu", "cpuminer", "cryptinject", "cryptolocker", "cybergate", "cybernetic", "darkgate", "darkhotel", "darkkomet", "daws", "dealply", "delf", "detnat", "dexel", "dfay", "dinwod", "disfa", "dlhelper", "dorifel", "dorkbot", "dotdo", "doublefantasy", "downloadshield", "drolnux", "eicardemo", "ekstak", "emotet", "enfal", "eorezo", "eskimo", "exchanger", "expiro", "familykeylogger", "farfli", "fearless_lite", "flux", "gamarue", "ganelp", "garrun", "gate", "gemius", "gepys", "gh0st", "ghost", "gozi", "goznym", "guagua", "hafen", "hav_rat", "havex", "httpbot", "hue", "hupigon", "hvnc", "hydracrypt", "hyperbro", "icecold_reloaded", "icedid", "imminent", "inbox", "infinitetear", "institution_2004", "ipamor", "ircbrute", "ircfast", "istartsurf", "jbonblanc", "karagany", "kasidet", "kelihos", "khalesi", "kolab", "konni", "koobface", "korplug", "koutodoor", "kuluoz", "kwampirs", "lamer", "lethic", "linkury", "locky", "lokibot", "lolbot", "lost_door", "maener", "magala", "mailru", "manuscrypt", "memery", "messiah", "meterpreter", "midie", "mikey", "miniduke", "mintluks", "miragefox", "mirai", "mirc", "miuref", "molebox", "moonpie", "mosucker", "msilbot", "multiminer", "mywebsearch", "nanobot", "nanocore", "necurs", "neobar", "netcat", "netsphere", "netwiredrc", "nitol", "noon", "nuclear_rat", "nukesped", "nymaim", "olgames", "orcus", "orcusrat", "palevo", "pandex", "pbot", "phpw", "pikabot", "pliskal", "plugx", "pony", "ponystealer", "predator", "prjraptor", "processhijack", "proxygate", "proxyweb", "psshell", "pswdump", "pykspa", "qadars", "qhost", "qqfarmassist", "qqpass", "ramnit", "razy", "rebhip", "reconyc", "regsup", "remcos", "remexi", "remoteadmin", "remotehack", "remotemanipulator", "roboinstall", "rustock", "salgorea", "sasfis", "sathurbot", "scarsi", "schoolbus", "scramupx", "sdbot", "serenity_rat", "shark", "shiotob", "shipup", "shiz", "shutdowner", "silentinstall", "simbot", "sinique", "sinowal", "sixxpack", "smallhttp", "smokeloader", "snare", "snojan", "socelars", "spigot", "spook", "spybot", "spyeye", "spygate", "startsurf", "storm", "stream_rat", "subseven", "swisyn", "swrort", "synrat", "teamviewer", "tiggre", "tinba", "tinukebot", "tofsee", "toggle", "trickbot", "triusor", "trojna", "tspy", "turkojan", "ulysses", "unruy", "urelas", "ursnif", "vampire", "vidar", "virtu", "vitro", "vittalia", "vtflooder", "wannacry", "webdial", "webisida", "wellmess", "winnti", "winshell", "winvnc", "winwrapper", "wootbot", "xmrig", "xtrat", "y3k_rat", "yakes", "yoddos", "ytddownloader", "yunsip", "z_dem0n", "zdengo", "zegost", "zeusvm", "zombierat", "zpevdo", "zusy", "candiru"]}, "T1053.005": {"name": "Scheduled Task/Job: Scheduled Task (Using tasks for persistent, recurring execution)", "tactic": "Persistence", "families": ["adposhel", "advload", "apost", "appster", "auslogics", "autocleanpro", "bitmin", "bsymem", "bundlore", "buterat", "cambot", "casinoonline", "cassiopeia", "centrumloader", "cerbu", "cloudguard", "commandcam", "daws", "dealply", "deceptpcclean", "dlguide", "downloadshield", "driverassist", "driverpack", "driverupdate", "driverupdater", "elemental", "eorezo", "extenbro", "fsysna", "fullscreen", "gamaredon", "garrun", "genkmsp", "globalupdate", "google", "gupd", "hafen", "hesv", "hworld", "icedid", "icloader", "idlekms", "ipamor", "istartsurf", "jetmedia", "kmsactivator", "kuaizip", "kuzitui", "linkury", "maxdriver", "microfake", "mikey", "mycleanpc", "mypcbackup", "nisloder", "noon", "nymeria", "omaneat", "onesystemcare", "optimizer", "patchupplus", "pccleaner", "pccleanup", "pckeeper", "perion", "pluto", "presenoker", "progressive", "pullupdate", "qbot", "qqware", "regcure", "regcurepro", "revetrat", "rozena", "runbooster", "scarsi", "securityshield", "shelma", "shipup", "simpleregistrycleaner", "singleclickreg", "skorik", "slimware", "smartpctweaker", "soft32dl", "softcnapp", "speedchecker", "speedingupmypc", "spigot", "ssprotect", "startsurf", "swrort", "systimizer", "systweak", "tempedreve", "trickbot", "tsklnk", "tweakbit", "umbra", "uniblue", "updatestar", "vindor", "vittalia", "vkontaktedj", "winactivator", "wintaskad", "wisesystemmechanic", "ytddownloader", "zamg", "zugo"]}, "T1546.015": {"name": "Event Triggered Execution: Component Object Model Hijacking", "tactic": "Privilege Escalation", "families": ["adpower", "baiduwrapper", "bettersurf", "bhoint", "boxter", "bplug", "cashfiesta", "cnnic", "couponmarvel", "domaiq", "emarketing", "exent", "ezsoftwareupdater", "favadd", "flvdirect", "genericrxad", "installbar", "linkury", "medialabs", "mediana", "meikehuayi", "mostofate", "mutabaha", "mydisksu", "mytonel", "nhopro", "nottotrack", "offerbox", "olext", "pontoeb", "ridapi", "ruanmei", "rubar", "sanctionedmedia", "secucharge", "shopperpro", "springtech", "taobao", "taojinstar", "uacme", "viddyhd", "virtumonde", "virut", "whiteclick", "yiwanzhushou"]}, "T1555": {"name": "Credentials from Password Stores", "tactic": "Credential Access", "families": ["advpassman", "barys", "berbew", "cardinal", "coinstealer", "cosmicduke", "cussteel", "delf", "elitekeylogger", "game", "gamehuck", "imminent", "khalesi", "mmorpg", "msilperseus", "netpass", "netwiredrc", "olgames", "passview", "ponystealer", "qqpass", "steam", "suixin", "trick", "urelas", "winspy", "zebrocy"]}, "T1491": {"name": "Defacement (Displaying fake security warnings / Scareware)", "tactic": "Impact", "families": ["advpassman", "bytefence", "casinoonline", "cleanpcpro", "cloudguard", "crypren", "deceptor", "driverbooster", "drivertalent", "driverturbo", "driverupdate", "driverupdater", "fakeal", "fastpc", "hoax", "jigsaw", "maxsecure", "microfake", "onesystemcare", "optimizer", "optispeed", "orangedefender", "pcbooster", "pccleaner", "pccleaners", "pccleaningutility", "pccleanplus", "pchealthboost", "pcrepair", "pcvark", "pornoblocker", "prorat", "protector", "rostpay", "screenmate", "security", "singleclickoptimizer", "smartapplicationcontroller", "speedcat", "systemcare", "systweaker", "webisida", "winspeedup", "winwebsec", "xorist", "zerber", "zlob"]}, "T1125": {"name": "Video/Audio Capture", "tactic": "Collection", "families": ["adwind", "amdocssims", "ardamax", "atomicrat", "babel", "bandook", "beast", "bladabindi", "carbanak", "commandcam", "cybergate", "darkkomet", "farfli", "finfish", "gh0st", "ghost", "hupigon", "imminent", "lost_door", "nanocore", "netwiredrc", "nuclear_rat", "orcus", "orcusrat", "orcusrot", "poison", "predator", "remcos", "remoxec", "revengerat", "scarcruft", "shark", "spygate", "spynet", "stream_rat", "subseven", "superspy", "synrat", "tear", "turkojan", "xtrat", "yuri"]}, "T1496": {"name": "Resource Hijacking (The core function of mining Monero cryptocurrency)", "tactic": "Impact", "families": ["adylkuzz", "autohit", "bedep", "bitmin", "btcon", "clickshell", "coinloader", "coins", "comine", "cpuminer", "cryptominer", "cryptredol", "epicscale", "filetour", "game", "gameserver", "idlebuddy", "idlecrawler", "maener", "malxmr", "mine", "minebicoin", "minerbat", "minerbot", "mmxmr", "multiminer", "nicehashminer", "onlineg", "phorpiex", "rakhni", "sefnit", "smominru", "stantinko", "tiggre", "tofsee", "xiaobaminer", "xmrig", "xmrigminer", "xmrminer", "zombieboy"]}, "T1210": {"name": "Exploitation of Remote Services (Using EternalBlue to spread laterally)", "tactic": "Lateral Movement", "families": ["adylkuzz", "blasterx", "bobax", "conficker", "kido", "lucky", "mytob", "petya", "rbot", "rpcdcom", "sdbot", "smbd", "smominru", "spybot", "taworm", "trick", "wannacry", "wootbot", "zombieboy"]}, "T1562.004": {"name": "Impair Defenses: Disable or Modify System Firewall (Closing SMB ports to protect its host from competing malware)", "tactic": "Defense Evasion", "families": ["adylkuzz", "cuegoe", "dnschanger", "feebs", "gameserver", "hostmodifier", "hostschanger", "hostseditor", "komodia", "mediaget", "picsys", "proxyagent", "proxyweb", "redirected", "socks", "speedbit", "sysn", "systemhijack", "ultrasurf", "vilsel", "wapomi", "zepfod", "zpevdo"]}, "T1555.003": {"name": "Credentials from Web Browsers", "tactic": "Unknown", "families": ["agenttesla", "amavaldo", "atraps", "azorult", "bitwallet", "blackmoon", "blackstealer", "bnksa", "browserpassview", "browserpwdstealer", "buzus", "bzub", "chromepass", "collector", "darkgate", "esfury", "evrial", "expiro", "eyestye", "fareit", "fareitvb", "firehooker", "flymux", "formbook", "frethog", "gamania", "ganelp", "ggpass", "gozi", "goznym", "gracewire", "hawkeyekeylogger", "himera", "hpcubestlr", "hpfareit", "hploki", "krbanker", "lazagne", "loki", "lokibot", "mailpassview", "mansabo", "memery", "messengerpass", "mewsspy", "mintluks", "mokssteal", "montague", "mumawow", "negasteal", "nirsoft", "oepass", "passcv", "passview", "passwordfox", "passwordstealer", "plinch", "pony", "predatorthief", "pwkiller", "pwszbot", "qadars", "rasoon", "razy", "redator", "redsip", "ribaj", "securityxploded", "separ", "shiz", "smheist", "snarasite", "socelars", "socstealer", "spyeye", "spygate", "spytector", "staem", "tinukebot", "tspy", "universal1337", "vidar", "vkbase", "waldek", "webbrowserpassview", "wswhacker", "yunsip", "zeusvm", "zusy", "candiru"]}, "T1498": {"name": "Network Denial of Service (Coordinated DDoS attacks)", "tactic": "Impact", "families": ["agobot", "amnesia", "aspxor", "attack", "autofixerpro", "benjamin", "blasterx", "bototer", "cutwail", "dial", "dnschanger", "dorkbot", "egroupdial", "emudbot", "fakeinstaller", "fakesmoke", "hosts", "hostspatcher", "ircbot", "ircfast", "ircnite", "kasidet", "kraken", "kranet", "krepper", "lethic", "mirc", "mydoom", "mytob", "napolar", "neurevt", "ngrbot", "palevo", "papras", "pcmega", "peed", "proteus", "rbot", "rodecap", "spybot", "storm", "stormattack", "tobor", "tron", "urcs", "vanbot", "wabot", "wootbot", "yoddos", "zdowbot", "zoldon"]}, "T1036.005": {"name": "Match Legitimate Name or Location", "tactic": "Defense Evasion", "families": ["aim_downloader", "amonetize", "archsms", "avira", "bifrose", "brontok", "browserio", "dlhelper", "exebinder", "fakeff", "fakeplayer", "google", "gupd", "installflash", "joiner", "lmir", "mozla", "mywebsearch", "nssm", "p2pworm", "patchload", "regrun", "seed", "sillyp2p", "sysupdate", "uk_splitter", "upadter", "vbclone", "winsecsrv", "xmrigminer"]}, "T1091": {"name": "Replication Through Removable Media (The core propagation mechanism using autorun.inf)", "tactic": "Lateral Movement", "families": ["ainslot", "autorunerent", "beebone", "brontok", "conficker", "cridex", "dorkbot", "drolnux", "fakefolder", "fire", "fosniw", "gamaredon", "grenam", "hamweq", "imaut", "jenxcus", "kido", "krepper", "lamer", "lolbot", "ludbaruma", "mira", "mofksys", "mupx", "ngrbot", "otorunq", "palevo", "phorpiex", "pioneer", "pluto", "propagate", "pyme", "ramnif", "ramnit", "rbot", "rebhip", "rontokbr", "sality", "sfone", "silly", "sillyfdc", "sillysharecopy", "sivis", "slenfbot", "sohanad", "sytro", "taterf", "taworm", "tenga", "vbclone", "viking", "vjworm", "vobfus", "vtub", "wabot", "wapomi"]}, "T1021.002": {"name": "Remote Services: SMB/Windows Admin Shares", "tactic": "Lateral Movement", "families": ["ainslot", "cobaltstrike", "conficker", "hptrickbot", "karamanak", "kolab", "kwampirs", "lovgate", "mofksys", "netsky", "parite", "propagate", "psexec", "sillysharecopy", "smbd", "snake", "tenga", "viking", "winexe", "winexec"]}, "T1005": {"name": "Data from Local System (Scraping RAM for Track 1/Track 2 data)", "tactic": "Collection", "families": ["alinaos", "azorult", "babar", "bitwallet", "blackstealer", "browserpwdstealer", "cardspy", "coinstealer", "confucius", "cosmicduke", "darkhotel", "dimnie", "equationdrug", "eskimo", "eventmonitor", "evrial", "frethog", "freyja", "gamethief", "gampass", "huntpos", "hydrapos", "kasidet", "kelihos", "keyboy", "lineage", "lockpos", "luhn", "mapstosteal", "netthief", "neutrinopos", "poscardstealer", "sentinel", "siplog", "spook", "tinypos", "travnet", "udpos", "ursnif", "yahoopass", "candiru"]}, "T1074.001": {"name": "Data Staged: Local Data Staging (Storing scraped cards in a hidden file)", "tactic": "Collection", "families": ["alinaos", "filefinder", "huntpos", "tinypos", "turla", "uploader"]}, "T1041": {"name": "Exfiltration Over C2 Channel", "tactic": "Exfiltration", "families": ["alinaos", "apost", "arkeistealer", "atraps", "bandok", "bisonal", "bits", "delf", "dragonbot", "enfal", "evrial", "fareit", "fareitvb", "fearless_key_spy", "findkeyxp", "freekeylogger", "freyja", "ggpass", "hawkeyekeylogger", "hiddentear", "hiddentears", "hpcubestlr", "huntpos", "keybase", "keyboy", "kgbspy", "korplug", "krilog", "kura", "lanfiltrator", "laqma", "lockpos", "logicielsespions", "luhn", "luminorat", "multibanker", "netcat", "netthief", "passwordstealer", "perflogger", "plasma", "plead", "plugx", "poscardstealer", "predator", "pyspy", "quasarrat", "refog", "relevantknowledge", "sentinel", "simbot", "smallhttp", "smsspy", "snake", "uploader", "veriato", "webwatcher", "zebrocy", "zonobindi"]}, "T1115": {"name": "Clipboard Data", "tactic": "Collection", "families": ["allinonekeylogger", "ardamax", "atraps", "beyondkeylogger", "clipspy", "cliptoshuffler", "coinstealer", "evrial", "fearless_key_spy", "fearless_lite", "hawkeyekeylogger", "hooker", "iespy", "informer", "keybase", "keydoor", "keylogr", "kradword", "lightlogger", "mewsspy", "monitoringtool", "monitortool", "netshadow", "njlogger", "perflogger", "phorpiex", "razy", "realspy", "refogkeylogging", "revealerkeylogger", "spyeye", "spyrix", "spytech", "spytector", "spywork", "stalk", "superspy", "tanspy", "vbklog"]}, "T1053": {"name": "Technique", "tactic": "Execution", "families": ["alvabrig", "netbus"]}, "T1204": {"name": "User Execution (Relying on the user to bypass the heuristic warning)", "tactic": "Execution", "families": ["alyak", "bsvsebni", "eb149b", "genericrxbp", "genericrxdi", "genericrxed", "genericrxeh", "genericrxex", "genericrxfh", "genericrxfp", "genericrxfs", "genericrxfu", "high", "hmgfa45id4o", "moderate", "phtg", "possiblemalware", "xxybsq", "xxybss", "xxybtw", "xxybuj", "xxybvi", "xxybwe", "xxybyu", "xxybzx", "xxycbl", "xxycdl", "xxycec", "xxycff", "xxychs"]}, "T1059.001": {"name": "Command and Scripting Interpreter: PowerShell (Used in infection chain)", "tactic": "Execution", "families": ["alyak", "amavaldo", "barys", "behav", "buhtrap", "cardtool", "casbaneiro", "chromepass", "clearlog", "clipspy", "coins", "cryptoload", "dumpy", "eicardemo", "familykeylogger", "gemius", "gorgon", "hidcon", "kovter", "macrodrop", "molebox", "occamy", "oceanlotus", "powerspritz", "powerun", "powstage", "proxygate", "pshell", "psshell", "pswdump", "qqfarmassist", "retefe", "roboinstall", "scramupx", "scriptkd", "silentinstall", "sofacy", "stantinko", "stegvob", "tick", "unruy", "vbcode", "vixenpanda", "webdial", "webisida", "werpoapt"]}, "T1055.001": {"name": "Dynamic-link Library Injection", "tactic": "defense-evasion", "families": ["amber", "babar", "backswap", "beastdoor", "bebloh", "browshot", "cheatengine", "cobaltstrike", "corebot", "cryptinject", "darkgate", "dllhijack", "dllhijacker", "dllinject", "dofoil", "donloz", "doubleagent", "explorerhijack", "flystudio", "game", "gamemodding", "gamium", "gozi", "grenam", "hematite", "hooker", "hotkeyshook", "hpursnif", "hyperbro", "injeber", "injectorlib", "korplug", "look2me", "lurk", "meterpreter", "miuref", "multiinjector", "nanobot", "orcus", "parite", "pioneer", "polip", "ponmocup", "powstage", "processhijack", "qbot", "qqspy", "rovnix", "shiz", "shylock", "snake", "turla", "ulise", "ursnifdropper", "vawtrak", "viking", "virledi", "whiteice", "winevar", "wmfap", "xundlldl", "yahlover", "zeusvm"]}, "T1040": {"name": "Network Sniffing (Stealing credentials in transit)", "tactic": "Credential Access", "families": ["amdocssims", "hlux", "redsip", "siplog", "snifie", "wpakill", "wpepro"]}, "T1056": {"name": "Input Capture", "tactic": "Credential Access", "families": ["amiboide", "apocalypse_rat", "back_orifice", "bandook", "beast", "bersek", "bozok", "cashfiesta", "chinad", "clipspy", "comproc", "erazer", "erazer_lite", "eventmonitor", "ggdoor", "opanki", "pclnt", "screenmate", "siplog", "slingshot", "snifie", "tongji", "vkbase"]}, "T1219": {"name": "Remote Access Software (Abusing a legitimate tool for malicious interactive access)", "tactic": "Command and Control", "families": ["ammyy", "darkmoon", "radmin", "remote", "remoteadmin", "remotemanipulator", "screenconnect", "serveradmin", "teamspy", "teamviewer", "winvnc"]}, "T1497.001": {"name": "Virtualization/Sandbox Evasion: System Checks", "tactic": "Defense Evasion", "families": ["amnesia", "antisandbox", "banpak", "casper", "confuser", "delphi", "dinwod", "dofoil", "dynamer", "enigma", "enigmaprotector", "gamarue", "genkryptik", "gofot", "inexsmar", "jakyllhyde", "kbot", "loader", "malwarecrypter", "mudrop", "multidropper", "nakoctb", "nanobot", "noobyprotect", "nymaim", "obsidium", "orcus", "prepscram", "quant", "skeeyah", "smokeloader", "swizzor", "ulise", "umbra", "ursu", "vbkryjetor", "vmpbad", "vmprotbad", "wakme", "wizrem"]}, "T1489": {"name": "Service Stop (Forcefully stopping AV services)", "tactic": "Impact", "families": ["antavmu", "anyprotect", "blasterx", "crypmodadv", "crytex", "datakeeper", "delfile", "disabler", "diskscanfa", "dlsecure", "donex", "fakehack", "fraud", "gandcrab", "gandcrypt", "globeimposter", "idlebuddy", "idlecrawler", "keyboarddisable", "killall", "killapp", "killproc", "mousedisable", "orangedefender", "paradise", "payer", "ranpax", "recory", "satancrypt", "screen", "shutdown", "sign0fmisery", "spypro", "sugar", "taskkill", "vundo", "w10tweak", "winsecsrv", "wlock"]}, "T1498.001": {"name": "Network Denial of Service: Direct Network Flood", "tactic": "Impact", "families": ["antidenial", "cybernetic", "dnschange", "doser", "dragonbot", "gobot", "gtbot", "jacksbot", "kura", "mirai", "nitol", "orcusrot", "sdbot", "vtflooder"]}, "T1498.002": {"name": "Network Denial of Service: Reflection Amplification (Used for Spam/DDoS)", "tactic": "Impact", "families": ["antidenial", "bobax", "doser", "wpakill"]}, "T1499": {"name": "Endpoint Denial of Service (Consuming resources via invisible ad loading and click fraud)", "tactic": "Impact", "families": ["antidenial", "fastpc", "fleercivet", "liuliangbao", "webdial", "webdialer"]}, "T1497.002": {"name": "User Activity Checks", "tactic": "Defense Evasion", "families": ["antisandbox", "jakyllhyde"]}, "T1622": {"name": "Debugger Evasion (Nanomites, Anti-dumping)", "tactic": "Defense Evasion", "families": ["antisandbox", "armadillo", "eziriznetreactor", "moleboxvs", "polip"]}, "T1036.003": {"name": "Masquerading: Rename System Utilities (Using folder icons for executables)", "tactic": "Defense Evasion", "families": ["antivirus", "avira", "fantom", "gibe", "rontokbr"]}, "T1480": {"name": "Execution Guardrails", "tactic": "Defense Evasion", "families": ["antivirus", "avira"]}, "T1133": {"name": "External Remote Services (Commonly deployed via brute-forced RDP connections)", "tactic": "Initial Access", "families": ["apocalypse", "btcware", "crusis", "crypmodadv", "crypren", "crypton", "grandcrab", "lockcrypt", "matrix", "nlbrute", "poscardstealer", "samas", "samsam", "udpos"]}, "T1078": {"name": "Valid Accounts (The goal of the attack)", "tactic": "Initial Access", "families": ["apocalypse", "bansomqare", "bruteforce", "brutus", "cryptear", "cryptowire", "hydrapos", "nssm", "propagate", "qqfarmassist", "ranion", "ranserkd", "remoteadmin", "saencrypt", "satancrypt", "shezkrypt", "shinolock", "snocry", "teramind", "vixenpanda", "wadhrama"]}, "T1071": {"name": "Application Layer Protocol (Stratum Protocol to Mining Pools)", "tactic": "Command and Control", "families": ["apocalypse_rat", "bagle", "cool_remote_control", "coolvibes", "copperturtle", "erazer", "erazer_lite", "hack_a_tack", "mine", "minerbot", "potao", "soldier", "ubot"]}, "T1071.003": {"name": "Mail Protocols", "tactic": "command-and-control", "families": ["ardamax", "brambul", "cryptowall", "hawkeyekeylogger", "mira", "netsky"]}, "T1552.001": {"name": "Credentials In Files (Harvesting passwords and wallets from local storage)", "tactic": "Credential Access", "families": ["arkeistealer", "btcon", "cookiesstealer", "corebot", "fareit", "fareitvb", "findkeyxp", "freyja", "goldun", "hakopsbot", "harvester", "keylogr", "kradword", "logicielsespions", "montague", "netthief", "onlineg", "passcv", "passwordstealer", "plinch", "pony", "ponystealer", "pyspy", "sentinel", "snifula", "streespyer", "tanspy", "vidarstealer", "wswhacker", "yahoopass"]}, "T1070.004": {"name": "Indicator Removal on Host: File Deletion (Deleting the dropped executable after exfiltration)", "tactic": "Defense Evasion", "families": ["arkeistealer", "blamon", "blihan", "cleanlog", "crusis", "delfiles", "equationdrug", "golroted", "krucky", "mudrop", "pajetbin", "pasta", "qzonit", "schoolboy", "slefdel", "tonmye", "vidar", "virlock", "wdjiange"]}, "T1014": {"name": "Rootkit (Hiding files and processes)", "tactic": "Defense Evasion", "families": ["aspxor", "cidox", "comproc", "cutwail", "doublefantasy", "driverdevelop", "elitekeylogger", "equationdrug", "finfish", "golem", "hacdef", "hideproc", "laqma", "maplestory", "necurs", "ntkrnl", "ntrootkit", "peed", "reptile", "rewriteboota", "riodrv", "rkit", "rootkitdrv", "rovnix", "rustock", "sinowal", "slingshot", "snake", "turla", "wdfload", "winnti", "xpaj", "zacinlo", "zegost", "zero"]}, "T1046": {"name": "Network Service Discovery (Port Scanning)", "tactic": "Discovery", "families": ["attack", "brambul", "bump_rat", "darkmoon", "fspm", "gatak", "ircbot", "ircbrute", "ircfast", "johnnie", "krepper", "lanfiltrator", "mirai", "morto", "sdbot", "smbd", "sqlcrack", "taworm", "vanbot", "wabot", "wirelessnetview", "xscan", "zombieboy"]}, "T1068": {"name": "Exploitation for Privilege Escalation", "tactic": "Privilege Escalation", "families": ["attack", "avkiller", "disabler", "driverdevelop", "elevate", "equationdrug", "expstart", "hackav", "hckpk", "juicypotato", "killproc", "ntkrnl", "ntrootkit", "phonerooter", "predator", "prochack", "reptile", "rootkitdrv", "rpcdcom", "seeav", "snake", "spectre", "wgapatch", "candiru"]}, "T1491.001": {"name": "Defacement: Internal Defacement", "tactic": "Impact", "families": ["auslogics", "carambisdu", "deceptpcclean", "deepscan", "desktop", "dlsecure", "fakerean", "fakesupport", "fakesysdef", "faketool", "fraud", "gruel", "gt32supportgeeks", "hpdefender", "jigsawlocker", "onesyscare", "pcfixer", "pcmechanic", "pcoptimizerpro", "pcreviver", "perfectoptimizer", "pinkblocker", "recory", "reveton", "runbooster", "safebytes", "safeterra", "saturn", "slowpcfighter", "speed", "spynomore", "spypro", "systweak", "trickster", "tweakbit", "virtumonde", "viruscure", "vprotect", "winlock", "wronginf"]}, "T1059.007": {"name": "Command and Scripting Interpreter: JavaScript/JScript/AutoIt", "tactic": "Execution", "families": ["autoit", "backswap", "expstart", "jacksbot", "jscriptwrap", "nemucod", "psyme", "wews"]}, "T1129": {"name": "Shared Modules (Direct API calls via DllCall)", "tactic": "Execution", "families": ["autoitscript", "confuser", "corebot", "delphi", "dynamer", "enigmaprotector", "eziriznetreactor", "hooker", "msildrop", "noobyprotect", "obsidium", "prepscram", "pynamer", "ramdo", "vmprotbad"]}, "T1137.001": {"name": "Office Template Macros", "tactic": "Persistence", "families": ["autophyte"]}, "T1114": {"name": "Email Collection (Harvesting addresses for spamming)", "tactic": "Collection", "families": ["ayolog", "bagle", "blackstealer", "cardtool", "eventmonitor", "goldun", "hpcubestlr", "hpursnif", "keyer", "konni", "potao", "qqshou", "ramnif", "redaman", "slingshot", "snifula", "spamer", "spector", "spyboter", "staem", "tanspy", "teamspy", "tiklog"]}, "T1123": {"name": "Audio Capture", "tactic": "collection", "families": ["babar", "gh0st", "icecold_reloaded", "lost_door", "nuclear_rat", "predator", "stream_rat", "candiru"]}, "T1049": {"name": "Technique", "tactic": "Execution", "families": ["back_orifice"]}, "T1542.003": {"name": "Pre-OS Boot: Bootkit", "tactic": "Persistence", "families": ["backboot", "carberp", "cidox", "mbrlock", "nemesis", "ponmocup", "rewriteboota", "rovnix", "sinowal"]}, "T1056.002": {"name": "Input Capture: GUI Input Capture (Monitoring active window titles for targeted banks)", "tactic": "Collection", "families": ["backswap", "bancobras", "bankfraud", "finfish", "karamanak", "pinkblocker", "revealerkeylogger", "spector", "staem", "vkhost"]}, "T1534": {"name": "Internal Spearphishing (Mass-mailing propagation)", "tactic": "Lateral Movement", "families": ["bagle", "klez", "lovgate", "opanki", "pandex", "schoolgirl", "yahlover"]}, "T1048": {"name": "Exfiltration Over Alternative Protocol", "tactic": "Exfiltration", "families": ["banbra", "bancos", "bestafera", "bitter", "bitwallet", "browserpwdstealer", "bump_rat", "buzus", "cardspy", "chimera", "coinstealer", "cookiesstealer", "esfury", "eyestye", "flymux", "hakopsbot", "harvester", "himera", "hploki", "infinitetear", "magania", "mansabo", "mofksys", "montague", "mumawow", "netshadow", "neutrinopos", "oepass", "passcrypt", "passcv", "peflog", "plinch", "predatorthief", "purga", "qqspy", "rasoon", "ribaj", "smheist", "snarasite", "snifie", "sofacy", "spyagent", "steam", "streespyer", "sugar", "transmit", "uploader", "vidarstealer", "vixenpanda", "waldek", "werpoapt", "winspy", "wswhacker"]}, "T1056.004": {"name": "Input Capture: Credential API Hooking", "tactic": "Credential Access", "families": ["bancteian", "bankoren", "banks", "bebloh", "casbaneiro", "cridex", "goldun", "guildma", "hacdef", "hpursnif", "iespy", "ngrbot", "passwordstealer", "polip", "ramnif", "redaman", "snifula"]}, "T1110": {"name": "Brute Force", "tactic": "Credential Access", "families": ["bancteian", "brutus", "cryakl", "sathurbot", "taworm"]}, "T1021.001": {"name": "Remote Services: Remote Desktop Protocol (Utilizing built-in or custom VNC for graphical access)", "tactic": "Lateral Movement", "families": ["bandok", "crysis", "globeimposter", "luminorat", "morto", "neutrinopos", "plasma", "quasarrat", "rpdpatch", "serveradmin", "winvnc", "zonobindi"]}, "T1111": {"name": "Two-Factor Authentication Interception (Using Man-in-the-Browser web injects to steal OTPs)", "tactic": "Credential Access", "families": ["bank", "betabot", "bnksa", "cycbot", "papras", "shylock", "sphinx", "tinba", "trojanbanker"]}, "T1556.001": {"name": "Modify Authentication Process: Network Device Authentication (Bypassing 2FA mechanisms)", "tactic": "Credential Access", "families": ["banks"]}, "T1012": {"name": "Query Registry (Identifying mounted drives and network shares to encrypt)", "tactic": "Discovery", "families": ["bansomqare", "bitcovar", "cryptear", "cryptojoker", "cryptomix", "cryptowire", "cryptredol", "dial", "findkeyxp", "induc", "kryptyk", "qhosts", "ransomheur", "saencrypt"]}, "T1090.001": {"name": "Proxy: Internal Proxy", "tactic": "Command and Control", "families": ["bayrob", "berbew", "dotdo", "sality"]}, "T1090": {"name": "Proxy", "tactic": "Command and Control", "families": ["beast", "bolik", "bototer", "bump_rat", "bunitu", "cybernetic", "cycbot", "gracewire", "hlux", "mailcheck", "pbot", "peepviewer", "ponmocup", "prorat", "redirect", "shellme", "snipr", "spoofer", "tofsee", "transmit"]}, "T1003.001": {"name": "OS Credential Dumping: LSASS Memory (Behaviorally blocking access to credential stores)", "tactic": "Credential Access", "families": ["behav", "browserpassview", "chromepass", "cobaltstrike", "dumpy", "hckpk", "infinitetear", "karagany", "libsam", "metel", "meterpreter", "prochack", "pswdump", "pwdump", "pwkiller", "remexi", "securityxploded", "termite", "woool", "younglotus", "zegost", "candiru"]}, "T1036.004": {"name": "Masquerade Task or Service", "tactic": "Defense Evasion", "families": ["benjamin", "binder", "fakefolder", "multijoiner", "mydoom", "schoolgirl"]}, "T1043": {"name": "Technique", "tactic": "Execution", "families": ["bersek"]}, "T1548.002": {"name": "Abuse Elevation Control Mechanism: Bypass User Account Control", "tactic": "Privilege Escalation", "families": ["betabot", "bypass", "bypassuac", "elevate", "exescript", "gamehack", "hideproc", "juicypotato", "uacme"]}, "T1036.002": {"name": "Masquerading: Right-to-Left Override", "tactic": "Defense Evasion", "families": ["binder", "vbinder", "yabinder"]}, "T1027.003": {"name": "Obfuscated Files or Information: Steganography", "tactic": "Defense Evasion", "families": ["bindjpg", "gatak", "stegvob", "vawtrak", "zeusvm"]}, "T1197": {"name": "BITS Jobs (The core technique abused by this malware)", "tactic": "Defense Evasion", "families": ["bits", "guildma"]}, "T1218": {"name": "System Binary Proxy Execution (Using bitsadmin or svchost to proxy the network request)", "tactic": "Defense Evasion", "families": ["bits", "nircmd"]}, "T1203": {"name": "Exploitation for Client Execution (Exploiting Office vulnerabilities)", "tactic": "Execution", "families": ["bitter", "miniduke", "predator", "shellcodef", "wews", "wmfap", "xkit", "candiru"]}, "T1485": {"name": "Data Destruction", "tactic": "Impact", "families": ["blackenergy", "coma", "deleter", "delfile", "destructbot", "erazer", "fire", "jigsaw", "jigsawlocker", "killmbr", "killwin", "krakencryptor", "loveletter", "magistrcorr", "mongolock", "nyxem", "olympicdestroyer", "parite", "pikachu", "polypatch", "pyfiledel", "ranserkd", "schwarzesonne", "sign0fmisery", "sivis", "tenga", "thanatos", "vxidl"]}, "T1565.002": {"name": "Transmitted Data Manipulation", "tactic": "impact", "families": ["blackmoon"]}, "T1571": {"name": "Non-Standard Port", "tactic": "Command and Control", "families": ["bladabindi", "farfli", "msilperseus", "snake", "tftpd"]}, "T1106": {"name": "Native API", "tactic": "Execution", "families": ["bmgfrznl2gfaa", "bmsdus4ufhei", "chapak", "cmhfbw9r", "delphi", "detnat", "dllinject", "erazer", "erazer_lite", "explorerhijack", "fmgfagns0sge", "genericrxas", "genericrxax", "genericrxbu", "genericrxby", "genericrxbz", "genericrxcg", "genericrxel", "genericrxfj", "genericrxfy", "genericrxge", "genericrxgh", "genericrxgk", "hg8absxocmcj", "killproc", "kjwar5ju8ibgb", "kmuaaovs", "launcher", "lixeaqbyzsj", "mmnfbgfpueki", "mz0a4gxuisb", "nmkfacwya3cg", "npack", "omgfamcremci", "pef13c", "rmkefdlslaoi", "rz0auircb0di", "sivis", "swisyn", "triusor", "uiwao0sam", "uiwaowr6xsaje", "umgfxgkazyg", "umqabaxnjogc", "vbkryjetor", "vmjfbex4hpjj", "wi0abyrjybki", "wmqarhe5p8fbt", "xizfawwyz0ab", "xnhmeb", "xxyfhz", "za0au42rofm", "zy0baazvyqni"]}, "T1140": {"name": "Deobfuscate/Decode Files or Information", "tactic": "Defense Evasion", "families": ["bozok", "cryptpack", "encryptpe", "fcb569f", "flystudio", "gamarue", "moleboxultra", "ou0bsubcbkhb", "pckdflystudio", "sivis", "upackdam", "vbdrop"]}, "T1570": {"name": "Lateral Tool Transfer", "tactic": "lateral-movement", "families": ["brambul", "crypren", "psexec", "sillyp2p", "sillysharecopy", "smbd"]}, "T1114.001": {"name": "Email Collection: Local Email Collection", "tactic": "Collection", "families": ["brontok", "cardspy", "chir", "kbot", "kelihos", "mailspy", "mydoom", "netsky", "rustock", "smsspy", "spectorpro", "vidar", "warezov", "winevar", "zafi"]}, "T1036": {"name": "Masquerading (Disguising adware consent forms)", "tactic": "Defense Evasion", "families": ["brosafe", "bunndle", "candyopen", "codecpa", "directdownloader", "downloadsoft", "fakeoff", "inno", "installmetrix", "kaymundler", "microjoin", "mods", "offerinstall", "screenconnect", "sillysharecopy", "smartinstaller", "spoofer", "wrar"]}, "T1110.002": {"name": "Brute Force: Password Cracking (Offline)", "tactic": "Credential Access", "families": ["bruteforce"]}, "T1110.003": {"name": "Brute Force: Password Spraying", "tactic": "Credential Access", "families": ["bruteforce"]}, "T1047": {"name": "Windows Management Instrumentation", "tactic": "execution", "families": ["buhtrap", "crysis", "petya", "propagate", "samas", "smominru", "tick", "werpoapt"]}, "T1563": {"name": "Remote Service Session Hijacking", "tactic": "Lateral Movement", "families": ["buhtrap"]}, "T1546": {"name": "Event Triggered Execution: Browser Shortcut Modification", "tactic": "Privilege Escalation", "families": ["bundlore", "casinoonline", "polypatch", "qqware", "redirect", "searchpage", "systemhijack", "vitro", "vkontaktedj"]}, "T1555.004": {"name": "Credentials from Password Stores: Windows Credential Manager", "tactic": "Credential Access", "families": ["buzus", "esfury", "eyestye", "hploki", "lazagne", "mansabo", "securityxploded", "snarasite", "waldek"]}, "T1556": {"name": "Modify Authentication Process", "tactic": "Credential Access", "families": ["byfh", "computty", "dnschange", "hostspatcher", "qhosts", "wajam", "zamg"]}, "T1021": {"name": "Remote Services (Lateral movement to critical bank infrastructure)", "tactic": "Lateral Movement", "families": ["carbanak", "cobalt", "liudoor", "metel", "revengerat", "spynet"]}, "T1488": {"name": "Disk Wipe (Sometimes used to cover tracks after a heist)", "tactic": "Impact", "families": ["carbanak"]}, "T1589.001": {"name": "Gather Victim Identity Information: Credentials (Relying on previously breached password lists)", "tactic": "Reconnaissance", "families": ["cardtool", "snipr"]}, "T1102.001": {"name": "Web Service: Dead Drop Resolver (Using YouTube/GitHub for C2 routing)", "tactic": "Command and Control", "families": ["casbaneiro", "stantinko", "vidar"]}, "T1124": {"name": "System Time Discovery", "tactic": "Discovery", "families": ["cerber"]}, "T1626": {"name": "Technique", "tactic": "Execution", "families": ["cerberus", "taptrap"]}, "T1629": {"name": "Financial Theft: SMS Toll Fraud (Sending premium SMS messages)", "tactic": "Impact", "families": ["cerberus", "smshoax"]}, "T1628": {"name": "Abuse Elevation Control Mechanism: Accessibility Features", "tactic": "Privilege Escalation", "families": ["cerberus", "dyloader"]}, "T1218.011": {"name": "System Binary Proxy Execution: Rundll32", "tactic": "Defense Evasion", "families": ["chanitor", "hancitor", "jscriptwrap", "xundlldl"]}, "T1070.001": {"name": "Indicator Removal: Clear Windows Event Logs (The primary function of the tool)", "tactic": "Defense Evasion", "families": ["cleanlog", "clearlog", "deleter", "hermes", "killdisk", "matrix", "redeye"]}, "T1565.001": {"name": "Data Manipulation: Stored Data Manipulation (Altering DNS IP settings)", "tactic": "Impact", "families": ["cliptoshuffler", "dnschange", "krbanker", "qhost"]}, "T1001.003": {"name": "Data Obfuscation: Protocol Impersonation (Malleable C2 profiles)", "tactic": "Command and Control", "families": ["cobalt"]}, "T1003": {"name": "OS Credential Dumping (Built-in Mimikatz integration)", "tactic": "Credential Access", "families": ["cobalt", "cookiesstealer", "darkmoon", "hpfareit", "lazagne", "mailpassview", "messengerpass", "montague", "negasteal", "netpass", "nirsoft", "oepass", "olympicdestroyer", "passcv", "passwordfox", "plinch", "qqshou", "redator", "samas", "sofacy", "taterf", "webbrowserpassview", "wswhacker"]}, "T1573.002": {"name": "Asymmetric Cryptography", "tactic": "command-and-control", "families": ["cobaltstrike", "quasarrat", "snake", "wellmess"]}, "T1552.004": {"name": "Unsecured Credentials: Private Keys", "tactic": "Credential Access", "families": ["computty", "retefe", "winnti"]}, "T1120": {"name": "Peripheral Device Discovery (Activating the microphone for audio surveillance)", "tactic": "Discovery", "families": ["confucius"]}, "T1620": {"name": "Reflective Code Loading", "tactic": "Defense Evasion", "families": ["confuser", "cryptinject", "dimnie", "donut", "drooptroop", "dynamer", "enigma", "enigmaprotector", "meterpreter", "morphine", "noobyprotect", "obsidium", "pespin", "vmpbad", "vmprotbad"]}, "T1574.002": {"name": "DLL Side-Loading", "tactic": "defense-evasion", "families": ["copperturtle", "darkgate", "dllhijack", "dllinject", "elevate", "hyperbro", "kaseya", "keyboy", "korplug", "mekotio", "miragefox", "nukesped", "plead", "plugx", "salgorea", "soldier", "teamspy", "uacme", "winnti"]}, "T1546.003": {"name": "Windows Management Instrumentation Event Subscription", "tactic": "persistence", "families": ["cosmicduke", "mine", "occamy", "powerspritz", "smominru", "sofacy", "stantinko", "xmrminer", "zombieboy"]}, "T1090.003": {"name": "Proxy: Multi-hop Proxy (Use of Tor/I2P for C2)", "tactic": "Command and Control", "families": ["crowti", "koobface", "proxygate", "proxyweb", "retefe", "sage", "sefnit", "shade", "stormattack", "troldesh", "ultrasurf", "vtflooder", "zero"]}, "T1552": {"name": "Credentials in Files (Stealing Bitcoin wallets and saved passwords prior to encryption)", "tactic": "Credential Access", "families": ["cryptxxx", "gamethief", "gampass", "hptrickbot"]}, "T1560.001": {"name": "Archive Collected Data: Archive via Utility (Using WinRAR for extortion)", "tactic": "Collection", "families": ["cryrar", "filefinder", "hpcubestlr", "kelihos", "netsky", "storm", "strongpity"]}, "T1078.002": {"name": "Domain Accounts", "tactic": "defense-evasion", "families": ["crysis", "killdisk", "nlbrute"]}, "T1195.002": {"name": "Compromise Software Supply Chain", "tactic": "initial-access", "families": ["darkhotel", "havex", "shadowhammer", "strongpity", "winnti"]}, "T1553.002": {"name": "Code Signing", "tactic": "defense-evasion", "families": ["darkhotel", "filerepmetagen", "prochack", "remotemanipulator", "shadowhammer"]}, "T1021.005": {"name": "Remote Services: VNC (Hidden Desktop manipulation)", "tactic": "Lateral Movement", "families": ["darkvnc"]}, "T1497": {"name": "Virtualization/Sandbox Evasion (Commercial packers often include features to prevent execution in analysis environments)", "tactic": "Defense Evasion", "families": ["dealply", "dnguard", "encryptpe", "winload"]}, "T1546.012": {"name": "Event Triggered Execution: Image File Execution Options Injection (Disabling Task Manager)", "tactic": "Privilege Escalation", "families": ["deepscan", "doubleagent", "safeterra", "winwebsec"]}, "T1561.001": {"name": "Disk Wipe: Disk Content Wipe", "tactic": "Impact", "families": ["deleter", "destructbot", "killdisk", "killwin", "rewriteboota"]}, "T1561.002": {"name": "Disk Wipe: Disk Structure Wipe (MBR Overwrite)", "tactic": "Impact", "families": ["deleter", "destructbot", "killdisk", "killmbr", "killwin", "magistrcorr", "olympicdestroyer", "petya", "pyfiledel", "satana"]}, "T1561": {"name": "Disk Wipe", "tactic": "Impact", "families": ["delfile"]}, "T1547.004": {"name": "Boot or Logon Autostart Execution: Winlogon Helper DLL (Shell hijacking)", "tactic": "Persistence", "families": ["desktop", "fraudkrypt", "look2me", "pinkblocker", "pornblackmailer", "pornoblocker", "reveton", "startp", "urausy", "winlock", "wlock"]}, "T1027.005": {"name": "Obfuscated Files or Information: Indicator Removal from Tools", "tactic": "Defense Evasion", "families": ["donut", "occamy", "powerspritz"]}, "T1557.002": {"name": "Adversary-in-the-Middle: ARP Poisoning / Local Proxy Injection", "tactic": "Credential Access", "families": ["dotdo"]}, "T1057": {"name": "Process Discovery", "tactic": "Discovery", "families": ["doublefantasy", "hydrapos", "poscardstealer", "prjraptor", "tiggre"]}, "T1480.001": {"name": "Environmental Keying", "tactic": "Defense Evasion", "families": ["drooptroop"]}, "T1134.001": {"name": "Access Token Manipulation: Token Impersonation/Theft (Using SeDebugPrivilege)", "tactic": "Privilege Escalation", "families": ["dumpy", "juicypotato"]}, "T1636": {"name": "Data from Local System: Screen Capture (Using Overlay Attacks to steal credentials)", "tactic": "Credential Access", "families": ["dyloader", "phonerooter", "taptrap"]}, "T1624.001": {"name": "Data from Information Repositories: Short Message Service (SMS) (Intercepting MFA tokens)", "tactic": "Collection", "families": ["dyloader", "fakeinstaller"]}, "T1479": {"name": "System Information Discovery (Profiling installed banking apps)", "tactic": "Discovery", "families": ["dyloader"]}, "T1542.002": {"name": "Component Firmware", "tactic": "persistence", "families": ["equationdrug"]}, "T1560.003": {"name": "Custom Cryptographic Protocol", "tactic": "command-and-control", "families": ["equationdrug"]}, "T1528": {"name": "Steal Application Access Token (Abusing OAuth authorizations for social media access)", "tactic": "Credential Access", "families": ["exfriendalert", "ggpass"]}, "T1562.002": {"name": "Impair Defenses: Disable Windows Event Logging", "tactic": "Defense Evasion", "families": ["exxroute", "qhosts", "simda", "vkhost"]}, "T1564.001": {"name": "Hide Artifacts: Hidden Files and Directories (Hiding the real folders)", "tactic": "Defense Evasion", "families": ["exxroute", "fakefolder", "idlecrawler", "imaut", "jenxcus", "liuliangbao", "rebhip", "shiotob", "silly", "sillyfdc", "sohanad", "vbclone", "vjworm", "vtub"]}, "T1583.003": {"name": "Acquire Infrastructure: Botnet", "tactic": "Resource Development", "families": ["fakedos", "mailbot", "spamha"]}, "T1437": {"name": "Application Layer Protocol (Communicating with C2 to fetch premium shortcodes)", "tactic": "Command and Control", "families": ["fakeinstaller", "rvrat"]}, "T1491.002": {"name": "Defacement: Internal Defacement (Creating a full-screen, unclosable ransom note)", "tactic": "Impact", "families": ["fakeransom", "fraudkrypt", "pornblackmailer", "smartfortress"]}, "T1546.010": {"name": "Event Triggered Execution: AppInit DLLs (Persistence and injection mechanism)", "tactic": "Persistence", "families": ["fleercivet"]}, "T1135": {"name": "Network Share Discovery", "tactic": "Discovery", "families": ["fspm", "lanfiltrator"]}, "T1562": {"name": "Impair Defenses (Suspicious API calls)", "tactic": "Defense Evasion", "families": ["genericrxau", "joke", "magala", "nivdort", "pcclean", "sennaonemaker", "slimdrivers", "spoofer", "ultrasurf"]}, "T1573": {"name": "Encrypted Channel", "tactic": "Command and Control", "families": ["gh0st", "hlux", "moonpie", "poison", "xrat"]}, "T1071.002": {"name": "Application Layer Protocol: File Transfer Protocols (Use of IRC for C2)", "tactic": "Command and Control", "families": ["gobot", "gtbot", "ircbot", "ircnite", "slenfbot", "vanbot", "virut", "wabot"]}, "T1080": {"name": "Taint Shared Content (Spreading via SMB shares)", "tactic": "Lateral Movement", "families": ["grenam", "sality", "taterf"]}, "T0836": {"name": "Modify Parameter (ICS specifically: OPC Network Scanning/Enumeration)", "tactic": "Discovery", "families": ["havex"]}, "T1003.002": {"name": "OS Credential Dumping: Security Account Manager (SAM)", "tactic": "Credential Access", "families": ["hckpk", "libsam", "pswdump", "pwdump", "pwkiller"]}, "T1550.002": {"name": "Use Alternate Authentication Material: Pass the Hash", "tactic": "Lateral Movement", "families": ["hckpk", "libsam", "pwdump"]}, "T1573.001": {"name": "Encrypted Channel: Symmetric Cryptography", "tactic": "Command and Control", "families": ["hematite", "liudoor", "nanobot", "simbot", "upatre", "zxshell"]}, "T1564.003": {"name": "Hide Artifacts: Hidden Window (The primary function of the tool)", "tactic": "Defense Evasion", "families": ["hidcon", "nircmd", "unruy"]}, "T1027.009": {"name": "Obfuscated Files or Information: Embedded Payloads (Extracting the PUPs from the wrapper)", "tactic": "Defense Evasion", "families": ["hiddeninstall", "virlock"]}, "T1553.006": {"name": "Subvert Trust Controls: Code Signing Policy Modification (Loading untrusted drivers)", "tactic": "Defense Evasion", "families": ["hideproc"]}, "T1098.002": {"name": "Account Manipulation: Additional Email Delegate Permissions (Mass spamming)", "tactic": "Credential Access", "families": ["hlux", "zafi"]}, "T1584": {"name": "Compromise Infrastructure", "tactic": "Resource Development", "families": ["hosts", "socks"]}, "T1564.006": {"name": "Hide Artifacts: Run Virtual Instance (Creating the hidden Window Station/Desktop)", "tactic": "Defense Evasion", "families": ["hvnc"]}, "T1195": {"name": "Supply Chain Compromise (Infecting the development compiler)", "tactic": "Initial Access", "families": ["induc", "virtu"]}, "T1059.004": {"name": "Command and Scripting Interpreter: Unix Shell (or Windows CMD/Batch)", "tactic": "Execution", "families": ["installbrain", "installermonetizer", "jacksbot", "netpass", "opendownloadmanager", "openinstall", "silentall", "smartapps", "wellmess"]}, "T1587.001": {"name": "Develop Capabilities: Malware", "tactic": "Resource Development", "families": ["jps_virus_maker", "malmaker"]}, "T1199": {"name": "Trusted Relationship (Exploiting MSP infrastructure)", "tactic": "Initial Access", "families": ["kaseya", "refog", "veriato"]}, "T1546.008": {"name": "Event Triggered Execution: File Infection (PE Injection)", "tactic": "Persistence", "families": ["kates"]}, "T1529": {"name": "System Shutdown/Reboot (Forcing a restart to trigger the unbootable state)", "tactic": "Impact", "families": ["killmbr", "mbrlock", "shutdown", "shutdowner"]}, "T1546.001": {"name": "Event Triggered Execution: Change Default File Association", "tactic": "Persistence", "families": ["kingsoft", "webaltatoolbar", "winreg"]}, "T1553.004": {"name": "Subvert Trust Controls: Install Root Certificate (Breaking TLS)", "tactic": "Defense Evasion", "families": ["komodia", "redirected", "vonteera", "zacinlo"]}, "T1087.002": {"name": "Account Discovery: Domain Account", "tactic": "Discovery", "families": ["lanfiltrator"]}, "T1404": {"name": "Exploitation for Privilege Escalation (Exploiting the Android/Linux kernel)", "tactic": "Privilege Escalation", "families": ["lotoor", "phonerooter"]}, "T1444": {"name": "Drive-by Compromise (Malicious third-party app stores)", "tactic": "Initial Access", "families": ["lotoor"]}, "T1426": {"name": "System Information Discovery (Profiling kernel versions for exploits)", "tactic": "Discovery", "families": ["lotoor"]}, "T1114.003": {"name": "Email Forwarding Rule", "tactic": "Collection", "families": ["loveletter", "pikachu", "spamha", "vxidl"]}, "T1110.004": {"name": "Brute Force: Credential Stuffing (The core function of the Snipr tool)", "tactic": "Credential Access", "families": ["mailcheck", "snipr"]}, "T1114.002": {"name": "Remote Email Server Collection", "tactic": "Collection", "families": ["mailspy"]}, "T1074": {"name": "Data Staged", "tactic": "Collection", "families": ["mapstosteal"]}, "T1567": {"name": "Exfiltration Over Web Service", "tactic": "Exfiltration", "families": ["mapstosteal"]}, "T1006": {"name": "Direct Volume Access (Required to overwrite Sector 0)", "tactic": "Defense Evasion", "families": ["mbrlock"]}, "T1102": {"name": "Web Service: Dead Drop Resolver", "tactic": "Command and Control", "families": ["miniduke"]}, "T1071.004": {"name": "Application Layer Protocol: DNS (Exfiltrating stolen card data via DNS tunneling)", "tactic": "Command and Control", "families": ["miragefox", "udpos", "vixenpanda"]}, "T1499.004": {"name": "Endpoint DoS Exploitation", "tactic": "Impact", "families": ["mirai"]}, "T1595.002": {"name": "Active Scanning: Vulnerability Scanning (Mass-scanning for port 27017)", "tactic": "Reconnaissance", "families": ["mongolock"]}, "T1218.007": {"name": "System Binary Proxy Execution: Msiexec", "tactic": "Defense Evasion", "families": ["msidrop"]}, "T1564": {"name": "Hide Artifacts", "tactic": "Defense Evasion", "families": ["ntrootkit", "rkit", "sbyinying", "zero"]}, "T1132.001": {"name": "Standard Data Encoding", "tactic": "Command and Control", "families": ["oceanlotus"]}, "T1568": {"name": "Dynamic Resolution", "tactic": "Command and Control", "families": ["peed"]}, "T1119": {"name": "Automated Collection", "tactic": "Collection", "families": ["peflog"]}, "T1569.002": {"name": "System Services: Service Execution", "tactic": "Execution", "families": ["petya", "psexec", "ranpax", "samsam", "satwancrypt", "serveradmin", "winexe", "winexec", "xyntservice"]}, "T1092": {"name": "Communication Through Removable Media", "tactic": "Command and Control", "families": ["potao"]}, "T1222.001": {"name": "Windows DACL Modification", "tactic": "Defense Evasion", "families": ["powerun"]}, "T1059.006": {"name": "Command and Scripting Interpreter: Python", "tactic": "Execution", "families": ["pycrypter", "pyfiledel", "pyinstaller", "pynamer", "pyspy"]}, "T1027.006": {"name": "HTML Smuggling", "tactic": "Unknown", "families": ["qbot"]}, "T1089": {"name": "Disabling Security Tools", "tactic": "Defense Evasion", "families": ["removewga"]}, "T1547.006": {"name": "Boot or Logon Autostart Execution: Kernel Modules and Extensions (LKM)", "tactic": "Persistence", "families": ["reptile"]}, "T1205.001": {"name": "Traffic Signaling: Port Knocking (Hidden Backdoor)", "tactic": "Defense Evasion", "families": ["reptile"]}, "T1563.002": {"name": "RDP Hijacking", "tactic": "Lateral Movement", "families": ["rpdpatch"]}, "T1027.001": {"name": "Obfuscated Files or Information: Indicator Removal from Tools", "tactic": "Defense Evasion", "families": ["sality", "tenga", "vtflooder", "wapomi"]}, "T1567.002": {"name": "Exfiltration to Cloud Storage", "tactic": "exfiltration", "families": ["scarcruft", "tick", "uploader"]}, "T1562.006": {"name": "Impair Defenses: Indicator Blocking (Modifying host firewalls to block EDR telemetry)", "tactic": "Defense Evasion", "families": ["seeav"]}, "T1016": {"name": "System Network Configuration Discovery", "tactic": "Discovery", "families": ["shadowhammer", "wirelessnetview"]}, "T1564.004": {"name": "Hide Artifacts: NTFS File Attributes", "tactic": "Defense Evasion", "families": ["shylock"]}, "T1542": {"name": "Pre-OS Boot", "tactic": "Defense Evasion", "families": ["slingshot"]}, "T1614.001": {"name": "System Location Discovery: Location Tracking (Often bundled to target specific regional carriers)", "tactic": "Discovery", "families": ["smshoax"]}, "T1533": {"name": "Data from Local System (Harvesting contact lists for further spam)", "tactic": "Collection", "families": ["smshoax"]}, "T1624": {"name": "Location and Audio/Video Capture (Adapted for requesting excessive SMS permissions)", "tactic": "Collection", "families": ["smsspy"]}, "T1204.001": {"name": "Malicious Link", "tactic": "execution", "families": ["socelars"]}, "T1583": {"name": "Acquire Infrastructure", "tactic": "Resource Development", "families": ["spamer"]}, "T1559": {"name": "Inter-Process Communication (Abusing shared CPU cache for side-channels)", "tactic": "Execution", "families": ["spectre"]}, "T1505.001": {"name": "Server Software Component: SQL Stored Procedures (Abusing xp_cmdshell)", "tactic": "Persistence", "families": ["sqlcrack"]}, "T1568.001": {"name": "Fast Flux DNS", "tactic": "command-and-control", "families": ["storm"]}, "T1574": {"name": "Hijack Execution Flow (The action of patching the legitimate binary)", "tactic": "Persistence", "families": ["swpatch"]}, "T1417": {"name": "Input Capture", "tactic": "Collection", "families": ["taptrap"]}, "T1629.002": {"name": "Device Driver Firmware", "tactic": "Persistence", "families": ["taptrap"]}, "T1192": {"name": "Spearphishing Link", "tactic": "Initial Access", "families": ["tick"]}, "T1572": {"name": "Protocol Tunneling", "tactic": "Command and Control", "families": ["transmit"]}, "T1036.001": {"name": "Masquerading: Invalid Code Signature", "tactic": "Defense Evasion", "families": ["trash"]}, "T1022": {"name": "Data Encrypted for Impact", "tactic": "Impact", "families": ["vawtrak"]}, "T1055.009": {"name": "Process Injection: PE Injection", "tactic": "Defense Evasion", "families": ["wapomi"]}, "T1132": {"name": "Data Encoding", "tactic": "Command and Control", "families": ["webdial"]}, "T1590.002": {"name": "Gather Victim Network Information: DNS (Understanding the network layout)", "tactic": "Reconnaissance", "families": ["wirelessnetview"]}, "T1018": {"name": "Remote System Discovery", "tactic": "Discovery", "families": ["xscan"]}}