Mi az APT?

A kiberbiztonság területén nagyszámú rosszindulatú fenyegetés létezik. E fenyegetések közül sok rosszindulatú programokat ír elő, bár rengeteg más módja is van a kiberbűnözők rosszindulatúnak. A képzettségi szint azonban nagyon változó közöttük. Sok „hacker” csak forgatókönyv-kölyök , csak a meglévő eszközöket képes futtatni, és hiányzik a saját készítéséhez szükséges készség. Sok hacker rendelkezik rosszindulatú program létrehozásához szükséges képességekkel, bár a pontos kaliber vadul változik. Van azonban még egy exkluzív szint, az APT.

Az APT az Advanced Persistent Threat rövidítése. Ők a legjobbak a hackerek számára, és általában a legjobbak a szakmában. Az APT-k nem csak technikailag jártasak az exploit fejlesztésben; egy sor egyéb készségeket is alkalmaznak, beleértve a finomságot, a türelmet és a működési biztonságot. Általában azt feltételezik, hogy a legtöbb, ha nem az összes APT nemzetállami szereplő, vagy legalábbis államilag támogatott. Ez a feltevés abból az időből, erőfeszítésből és odaadásból épül fel, amelyet céljuk elérése érdekében mutatnak.

Egy APT ujjlenyomata

Az APT pontos céljai országonként, APT-nként és támadásonként változnak. A legtöbb hackert személyes haszon motiválja, ezért betörnek, és a lehető leggyorsabban megpróbálnak minél több értékes adatot megszerezni. Az APT-k szabotázst, kémkedést vagy rendbontó támadásokat hajtanak végre, és általában politikai vagy néha gazdasági indíttatásúak.

Míg a legtöbb fenyegetés szereplője jellemzően opportunista, az APT-k általában csendesek vagy akár nagyon célirányosak. Ahelyett, hogy csak kizsákmányolnák a talált sebezhetőséget, azonosítják a célpontot, kitalálják, hogyan lehet a legjobban megfertőzni őket, majd kutatnak és kifejlesztenek egy kihasználást. Általában ezeket az exploitokat nagyon gondosan úgy konfigurálják, hogy a lehető legcsendesebbek és finomabbak legyenek. Ez minimálisra csökkenti az észlelés kockázatát, ami azt jelenti, hogy a kihasználás felhasználható más kiválasztott célpontokon, mielőtt felfedeznék, és kijavítanák a mögöttes biztonsági rést.

Az exploitok fejlesztése technikai és időigényes üzlet. Ez költséges üzletté teszi, különösen, ha nagyon összetett, ismert sebezhetőség nélküli rendszerekkel foglalkozik. Mivel nemzetállami alapok állnak az APT-k rendelkezésére, jellemzően sokkal több időt és erőfeszítést tudnak fordítani arra, hogy azonosítsák ezeket a finom, de súlyos sebezhetőségeket, majd rendkívül összetett kizsákmányolásokat dolgozzanak ki számukra.

A forrásmegjelölés nehéz

Nehéz lehet egy támadást bármely csoportnak vagy nemzetállamnak tulajdonítani. A ténylegesen használt rosszindulatú szoftverek, a támogató rendszerek és a célpontok nyomon követése mélyreható vizsgálatával lehetővé válik, hogy a rosszindulatú programok egyes törzseit meglehetősen magabiztosan összekapcsolják egy APT-vel, és összekapcsolják az APT-t egy országgal.

Ezek közül a rendkívül fejlett exploitok közül sok megosztja a más exploitokból származó kódbiteket. Egyes támadások akár ugyanazokat a nulladik napi sebezhetőségeket is felhasználhatják. Ezek lehetővé teszik az incidensek összekapcsolását és nyomon követését, nem pedig egyszeri, rendkívüli kártevőként.

Az APT számos akciójának nyomon követése lehetővé teszi a kiválasztott célpontok térképének felépítését. Ez a geopolitikai feszültségek ismeretével együtt legalább leszűkítheti a lehetséges állami szponzorok listáját. A rosszindulatú programon belüli nyelvezet további elemzése tippeket adhat, bár ezek hamisíthatók is, hogy téves hozzárendelésre ösztönözzenek.

Az APT-k legtöbb kibertámadása elfogadhatóan tagadható, mivel senki sem birtokolja őket. Ez lehetővé teszi minden felelős nemzetnek, hogy olyan cselekedeteket hajtson végre, amelyekkel nem feltétlenül szeretné, hogy kapcsolatba kerüljenek vele, vagy amivel nem vádolják. Mivel a legtöbb APT-csoportot magabiztosan bizonyos nemzetállamokhoz rendelik, és feltételezik, hogy ezeknek a nemzetállamoknak még több információjuk van a hozzárendelés alapjául, ésszerűen valószínű, hogy mindenki tudja, ki miért felelős. Ha valamelyik nemzet hivatalosan megvádolna egy másikat támadással, akkor valószínűleg megtorló vád alá kerülne. A hülyének játszva mindenki megőrzi elfogadható tagadhatóságát.

Példák

Sok különböző csoport más néven nevezi az APT-ket, ami megnehezíti a követésüket. Egyes nevek csak számozott megjelölések. Némelyik kizsákmányoló neveken alapul, amelyek sztereotip neveken alapulnak.

Legalább 17 APT-t tulajdonítanak Kínának. Az APT-szám, például az APT 1, néhányra utal. Az APT 1 egyben kifejezetten a 61398-as PLA egység. Legalább két kínai APT kapott olyan nevet, amelyben sárkányok szerepelnek: Double Dragon és Dragon Bridge. Ott van még a Numbered Panda és a Red Apollo.

Sok Iránnak tulajdonított APT névben szerepel a „cica” kifejezés. Például Helix Kitten, Charming Kitten, Remix Kitten és Pioneer Kitten. Az orosz APT gyakran tartalmaz medveneveket, például Fancy Bear, Cozy Bear, Bezerk Bear, Venomous Bear és Primitive Bear. Észak-Koreát három APT-nek tulajdonították: Ricochet Chollima, Lazarus Group és Kimsuky.

Izraelben, Vietnamban, Üzbegisztánban, Törökországban és az Egyesült Államokban legalább egy APT-t tulajdonítottak. Az Egyesült Államoknak tulajdonított APT-t Equation Groupnak hívják, amelyről úgy gondolják, hogy az NSA TAO vagy Tailored Access Operations egysége. A csoport nevét néhány kihasználásának nevéről és a titkosítás erős használatáról kapta.

Az egyenletcsoportot általában a legfejlettebb APT-nek tekintik. Ismeretes, hogy letiltotta az eszközöket, és rosszindulatú programokkal módosította őket. Több olyan rosszindulatú program is volt benne, amelyek egyedülálló módon képesek voltak megfertőzni a különböző gyártók merevlemezeinek firmware-jét, lehetővé téve a kártevő fennmaradását a teljes meghajtótörlés, az operációs rendszer újratelepítése és a meghajtó megsemmisítésén kívül bármi más során. Ezt a rosszindulatú programot lehetetlen volt észlelni vagy eltávolítani, és a fejlesztéshez hozzáférést kellett volna a meghajtó firmware-ének forráskódjához.

Következtetés

Az APT az Advanced Persistent Threat rövidítése, és a rendkívül fejlett hackercsoportokra utal, általában állítólagos nemzetállami kapcsolatokkal. Az APT-k által tanúsított készség, türelem és elhivatottság szintje páratlan a bűnügyi világban. A gyakran politikai célpontokkal együtt elég egyértelmű, hogy ezek nem az átlagos pénzért hackelkedő csoportok. Ahelyett, hogy hangos adatszivárgásba kezdenének, az APT-k általában finoman viselkednek, és amennyire csak lehetséges, elfedik a nyomaikat.

Általában az átlagos felhasználónak nem kell aggódnia az APT-k miatt. Csak olyan célpontokra fordítják idejüket, amelyek különösen értékesek számukra. Az átlagember nem rejtegeti azokat a titkokat, amelyeket egy nemzetállam értékesnek tart. Valójában csak a nagyobb cégek, különösen azok, amelyek kormányzati munkát végeznek, és különösen a befolyásos embereket fenyegeti reálisan a célpontok veszélye. Természetesen mindenkinek komolyan kell vennie saját biztonságát és cége biztonságát is.

A biztonsági világban azonban az az általános nézet, hogy ha egy APT úgy dönt, hogy érdekes vagy, akkor valahogy feltörhetik az eszközeidet, még akkor is, ha több millió dollárt kell K+F-re költeniük. Ez látható azon néhány esetben, amikor a rosszindulatú programokat gondosan úgy tervezték meg, hogy „légréseket” ugorjanak, mint például a Stuxnet féreg .