Co je APT?

V oblasti kybernetické bezpečnosti existuje obrovské množství škodlivých hrozeb. Mnoho z těchto hrozeb vytváří malware, i když existuje spousta dalších způsobů, jak mohou kyberzločinci být škodlivý. Úroveň dovedností mezi nimi se však velmi liší. Mnoho „hackerů“ jsou pouze skriptovací děti , které dokážou spouštět pouze existující nástroje a postrádají dovednosti, aby si vytvořily své vlastní. Mnoho hackerů má schopnosti vytvořit svůj malware, i když přesný kalibr se velmi liší. Existuje však ještě jedna exkluzivní úroveň, APT.

APT znamená Advanced Persistent Threat. Pro hackery jsou smetánkou a obecně jsou nejlepší v oboru. APT nejsou jen technicky zdatní ve vývoji exploitů; využívají také řadu dalších dovedností, včetně jemnosti, trpělivosti a provozní bezpečnosti. Obecně se předpokládá, že většina, ne-li všechny, APT jsou aktéři národního státu nebo alespoň státem sponzorované. Tento předpoklad vychází z času, úsilí a odhodlání, které projevují při dosahování svého cíle.

Otisky prstů APT

Přesné cíle APT se liší podle země, APT a útoku. Většina hackerů je motivována osobním prospěchem, a tak se vloupají a snaží se co nejrychleji získat co nejvíce cenných dat. APT provádějí sabotáže, špionáže nebo rušivé útoky a jsou obecně politicky nebo někdy i ekonomicky motivovány.

Zatímco většina aktérů ohrožení je typicky oportunistická, APT bývají tiší nebo dokonce velmi cílení. Spíše než jen vyvíjet exploity pro zranitelnosti, které najdou, identifikují cíl, zjistí, jak je nejlépe infikovat, a poté prozkoumají a vyvinou exploit. Obvykle budou tyto exploity velmi pečlivě nakonfigurovány tak, aby byly co nejtišší a nejjemnější. To minimalizuje riziko detekce, což znamená, že exploit může být použit na jiné zvolené cíle, než bude objeven a bude opravena základní zranitelnost.

Vývoj exploitů je technicky a časově náročná záležitost. To z něj dělá nákladnou záležitost, zejména při práci s vysoce složitými systémy bez známých zranitelností. Vzhledem k tomu, že APT mají k dispozici fondy národního státu, mohou obvykle strávit mnohem více času a úsilí identifikací těchto jemných, ale závažných zranitelností a následným vývojem extrémně složitých exploitů pro ně.

Připisování je těžké

Přisoudit útok kterékoli skupině nebo národnímu státu může být obtížné. Provedením hlubokých ponorů do skutečně používaného malwaru, podpůrných systémů a dokonce i sledování cílů je možné poměrně spolehlivě propojit jednotlivé kmeny malwaru s APT a propojit tento APT se zemí.

Mnoho z těchto vysoce pokročilých exploitů sdílí kousky kódu z jiných exploitů. Specifické útoky mohou dokonce využívat stejné zranitelnosti zero-day. Ty umožňují, aby byly incidenty propojeny a sledovány spíše než jako jednorázový, mimořádný malware.

Sledování mnoha akcí z APT umožňuje sestavit mapu jejich vybraných cílů. To ve spojení se znalostí geopolitického napětí může seznam potenciálních státních sponzorů alespoň zúžit. Další analýza jazyka použitého v malwaru může poskytnout rady, i když tyto mohou být také falešné, aby se podpořilo nesprávné přiřazení.

Většina kybernetických útoků ze strany APT přichází s pravděpodobným popřením, protože je nikdo nepřiznává. To umožňuje každému zodpovědnému národu provádět akce, se kterými by nutně nechtěl být spojován nebo z nichž by nebyl obviňován. Protože většina skupin APT je s jistotou připisována konkrétním národním státům a předpokládá se, že tyto národní státy mají ještě více informací, na kterých lze toto přisouzení založit, je poměrně pravděpodobné, že každý ví, kdo je za co zodpovědný. Pokud by kterýkoli národ oficiálně obvinil jiný z útoku, pravděpodobně by byl na straně příjemce odvetného přisouzení. Tím, že bude hrát hloupého, si každý udrží svou hodnověrnou popření.

Příklady

Mnoho různých skupin pojmenovává APT jinak, což komplikuje jejich sledování. Některá jména jsou pouze číslovaná označení. Některé jsou založeny na propojených exploitech, jsou založeny na stereotypních názvech.

K Číně je připisováno nejméně 17 APT. Číslo APT, jako je APT 1, odkazuje na některé. APT 1 je také konkrétně jednotka PLA 61398. Nejméně dva čínské APT dostaly jména s draky: Double Dragon a Dragon Bridge. Je tu také Numbered Panda a Red Apollo.

Mnoho APT připisovaných Íránu obsahuje v názvu „kotě“. Například Helix Kitten, Charming Kitten, Remix Kitten a Pioneer Kitten. Ruský APT často uvádí jména medvědů, včetně Fancy Bear, Cozy Bear, Bezerk Bear, Venomous Bear a Primitive Bear. Severní Korea byla připisována třem APT: Ricochet Chollima, Lazarus Group a Kimsuky.

Izrael, Vietnam, Uzbekistán, Turecko a Spojené státy mají alespoň jeden přidělený APT. APT přiřazený USA se nazývá Equation Group, což je považováno za jednotku NSA TAO nebo Tailored Access Operations. Skupina získala své jméno podle názvu některých jejích exploitů a intenzivního používání šifrování.

Skupina rovnic je obecně považována za nejpokročilejší ze všech APT. Je známo, že zakázala zařízení a upravila je tak, aby obsahovala malware. Měl také několik kusů malwaru, které byly jedinečně schopné infikovat firmware pevných disků od různých výrobců, což umožnilo malwaru přetrvávat po úplné vymazání disku, přeinstalaci operačního systému a cokoli jiného než zničení disku. Tento malware nebylo možné detekovat nebo odstranit a jeho vývoj by vyžadoval přístup ke zdrojovému kódu firmwaru jednotky.

Závěr

APT je zkratka pro Advanced Persistent Threat a je to termín používaný k označení vysoce pokročilých hackerských skupin, obecně s údajnými vazbami mezi národními státy. Úroveň dovedností, trpělivosti a obětavosti, kterou projevují APT, nemá v kriminálním světě obdoby. V kombinaci s často politickými cíli je celkem jasné, že to nejsou vaše průměrné hackovací skupiny za peníze. Namísto hlasitého narušení dat mají APT tendenci být nenápadní a zakrývají své stopy co nejvíce.

Obecně se průměrný uživatel nemusí o APT starat. Tráví čas pouze na cílech, které jsou pro ně obzvláště cenné. Průměrný člověk neskrývá tajemství, která národní stát považuje za cenná. Pouze větší společnosti, zejména ty, které vykonávají vládní práci, a zvláště vlivní lidé jsou reálně ohroženi terčem. Každý by měl samozřejmě brát své zabezpečení, stejně jako zabezpečení své firmy, vážně.

Obecný názor v bezpečnostním světě je však takový, že pokud se APT rozhodne, že jste zajímaví, budou schopni nějak hacknout vaše zařízení, i když budou muset strávit miliony dolarů času ve výzkumu a vývoji. To lze vidět na několika málo případech, kdy byl malware pečlivě navržen tak, aby přeskakoval „vzduchové mezery“, jako je červ Stuxnet .