Què és un APT?

En la ciberseguretat, hi ha un gran nombre d'amenaces malicioses. Moltes d'aquestes amenaces escriuen programari maliciós, tot i que hi ha moltes altres maneres perquè els ciberdelinqüents siguin maliciosos. El nivell d'habilitat entre ells varia molt, però. Molts "hackers" són només script kiddies , només poden executar les eines existents i no tenen les habilitats per fer-ne les seves. Molts pirates informàtics tenen les habilitats per crear el seu programari maliciós, tot i que el calibre exacte varia enormement. Tanmateix, hi ha un nivell més exclusiu, l'APT.

APT significa Advanced Persistent Threat. Són la millor opció per als pirates informàtics i, en general, són els millors del negoci. Els APT no només tenen coneixements tècnics en el desenvolupament d'explotacions; també utilitzen una sèrie d'altres habilitats, com ara la subtilesa, la paciència i la seguretat operativa. En general, se suposa que la majoria, si no tots, els APT són actors de l'estat-nació o, almenys, patrocinats per l'estat. Aquesta hipòtesi es construeix a partir del temps, l'esforç i la dedicació que mostren per assolir el seu objectiu.

Empremtes dactilars d'un APT

Els objectius precisos d'un APT varien segons el país, l'APT i l'atac. La majoria dels pirates informàtics estan motivats pel benefici personal i, per tant, entren i intenten agafar tantes dades valuoses el més aviat possible. Els APT realitzen sabotatges, espionatge o atacs disruptius i, en general, tenen motivacions polítiques o de vegades econòmiques.

Tot i que la majoria dels actors d'amenaça solen ser oportunistes, els APT solen ser silenciosos o fins i tot molt orientats. En lloc de desenvolupar explotacions per a les vulnerabilitats que trobin, identificaran un objectiu, buscaran la millor manera d'infectar-los i després investigaran i desenvoluparan un exploit. Normalment, aquestes explotacions es configuraran amb molta cura perquè siguin tan silencioses i subtils com sigui possible. Això minimitza el risc de detecció, el que significa que l'explotació es pot utilitzar en altres objectius escollits abans que es descobreixi i es solucioni la vulnerabilitat subjacent.

El desenvolupament d'explotacions és un negoci tècnic i que requereix temps. Això fa que sigui un negoci car, sobretot quan es tracta de sistemes molt complexos sense vulnerabilitats conegudes. Com que els fons de l'estat-nació estan disponibles per als APT, normalment poden dedicar molt més temps i esforç a identificar aquestes vulnerabilitats subtils però greus i després desenvolupar explotacions extremadament complexes per a ells.

L'atribució és difícil

Atribuir un atac a qualsevol grup o estat-nació pot ser difícil. Si s'explora en profunditat el programari maliciós real utilitzat, els sistemes de suport i fins i tot el seguiment dels objectius, és possible enllaçar diferents tipus de programari maliciós a un APT amb força confiança i enllaçar aquest APT a un país.

Molts d'aquests exploits molt avançats comparteixen fragments de codi d'altres exploits. Els atacs específics poden fins i tot fer ús de les mateixes vulnerabilitats de dia zero. Aquests permeten enllaçar i fer un seguiment dels incidents en lloc de ser un programari maliciós extraordinari i únic.

El seguiment de moltes accions des d'un APT permet crear un mapa dels objectius escollits. Això, combinat amb el coneixement de les tensions geopolítiques, pot almenys reduir la llista de possibles patrocinadors estatals. Una anàlisi més detallada del llenguatge utilitzat en el programari maliciós pot donar pistes, encara que també es poden falsificar per fomentar l'atribució errònia.

La majoria d'atacs cibernètics d'APT tenen una negació plausible perquè ningú els fa càrrec. Això permet que cada nació responsable realitzi accions amb les quals no voldria necessàriament ser associada o acusada. Com que la majoria dels grups APT s'atribueixen amb confiança a estats-nació específics, i se suposa que aquests estats-nació tenen encara més informació sobre la qual basar aquesta atribució, és raonablement probable que tothom sàpiga qui és responsable de què. Si alguna nació n'acusés oficialment una altra d'un atac, és probable que estigués a l'extrem receptor d'una atribució de represàlia. Fent el ximple, tothom aconsegueix mantenir la seva negació plausible.

Exemples

Molts grups diferents anomenen APT altres coses, cosa que complica el seguiment d'ells. Alguns noms són només designacions numerades. Alguns es basen en noms d'explotació enllaçats es basen en noms estereotipats.

Hi ha almenys 17 APT atribuïts a la Xina. Un número APT, com ara APT 1, fa referència a alguns. L'APT 1 també és específicament la unitat PLA 61398. Almenys dos APT xinesos han rebut noms amb dracs: Double Dragon i Dragon Bridge. També hi ha el panda numerat i l'Apol·lo vermell.

Molts APT atribuïts a l'Iran presenten "gatet" al nom. Per exemple, Helix Kitten, Charming Kitten, Remix Kitten i Pioneer Kitten. L'APT rus sovint inclou noms d'ós, com ara Fancy Bear, Cozy Bear, Bezerk Bear, Venomous Bear i Primitive Bear. Corea del Nord s'ha atribuït a tres APT: Ricochet Chollima, Lazarus Group i Kimsuky.

Israel, Vietnam, Uzbekistan, Turquia i els Estats Units tenen almenys un APT atribuït. Un APT atribuït als Estats Units s'anomena Equation Group, que es creu que és la unitat TAO o Tailored Access Operations de la NSA. El grup rep el seu nom del nom d'algunes de les seves explotacions i del seu gran ús del xifratge.

El grup d'equacions es considera generalment el més avançat de tots els APT. Se sap que hi ha dispositius interdits i els ha modificat per incloure programari maliciós. També tenia múltiples peces de programari maliciós que eren capaços d'infectar el microprogramari dels discs durs de diversos fabricants, cosa que permetia que el programari maliciós persistís a través d'esborrats complets de la unitat, reinstal·lacions del sistema operatiu i qualsevol altra cosa que no sigui la destrucció de la unitat. Aquest programari maliciós era impossible de detectar o eliminar i hauria requerit accés al codi font del microprogramari de la unitat per desenvolupar-se.

Conclusió

APT significa Advanced Persistent Threat i és un terme que s'utilitza per referir-se a grups de pirates informàtics molt avançats, generalment amb suposats enllaços entre estats nacionals. El nivell d'habilitat, paciència i dedicació que mostren els APT és inigualable en el món criminal. En combinació amb els objectius sovint polítics, és bastant clar que aquests no són els vostres grups mitjans de pirateria per diners. En lloc d'anar per violacions de dades forts, els APT solen ser subtils i cobrir les seves pistes tant com sigui possible.

En general, l'usuari mitjà no s'ha de preocupar pels APT. Només dediquen el seu temps a objectius que són especialment valuosos per a ells. La persona mitjana no amaga secrets que un estat-nació considera valuosos. Només les empreses més grans, especialment les que fan feina governamental, i les persones especialment influents, de manera realista, corren el risc de ser objectiu. Per descomptat, tothom hauria de prendre's seriosament la seva seguretat, així com la de la seva empresa.

La visió general del món de la seguretat, però, és que si un APT decideix que sou interessant, podran piratejar els vostres dispositius d'alguna manera, encara que hagin de gastar milions de dòlars en R+D. Això es pot veure en els pocs casos de programari maliciós dissenyat amb cura per saltar "buits d'aire", com ara el cuc Stuxnet .