Vad är en APT?

Inom cybersäkerhet finns det ett stort antal skadliga hot. Många av dessa hot skriver skadlig programvara, även om det finns många andra sätt för cyberbrottslingar att vara illvilliga. Skicklighetsnivån mellan dem varierar dock mycket. Många "hackers" är bara manusbarn , som bara kan köra befintliga verktyg och saknar färdigheter att göra sina egna. Många hackare har kompetensen att skapa sin skadliga programvara, även om den exakta kalibern varierar kraftigt. Det finns dock en mer exklusiv nivå, APT.

APT står för Advanced Persistent Threat. De är grädden för hackare och är generellt sett de bästa i branschen. APT:er är inte bara tekniskt skickliga på exploateringsutveckling; de använder också en rad andra färdigheter, inklusive subtilitet, tålamod och driftsäkerhet. Generellt antas det att de flesta, om inte alla, APT är nationalstatliga aktörer eller åtminstone statligt sponsrade. Detta antagande är byggt från den tid, ansträngning och engagemang de visar för att uppnå sitt mål.

Fingeravtryck av en APT

De exakta målen för en APT varierar beroende på land, APT och attack. De flesta hackare är motiverade av personlig vinning och bryter sig därför in och försöker ta så mycket värdefull data så snabbt som möjligt. APT:er utför sabotage, spionage eller störande attacker och är i allmänhet politiskt eller ibland ekonomiskt motiverade.

Medan de flesta hotaktörer vanligtvis är opportunistiska, tenderar APT:er att vara tysta eller till och med mycket riktade. Istället för att bara utveckla exploateringar för sårbarheter de hittar, kommer de att identifiera ett mål, ta reda på hur de bäst kan infektera dem och sedan undersöka och utveckla en exploatering. Vanligtvis kommer dessa exploits att vara mycket noggrant konfigurerade för att vara så tysta och subtila som möjligt. Detta minimerar risken för upptäckt, vilket innebär att utnyttjandet kan användas på andra utvalda mål innan det upptäcks och den underliggande sårbarheten åtgärdas.

Att utveckla exploits är en teknisk och tidskrävande verksamhet. Detta gör det till en dyr verksamhet, särskilt när man hanterar mycket komplexa system utan kända sårbarheter. Eftersom nationalstatsmedel är tillgängliga för APT:er kan de vanligtvis spendera mycket mer tid och ansträngning på att identifiera dessa subtila men allvarliga sårbarheter och sedan utveckla extremt komplexa utnyttjande av dem.

Tillskrivning är svårt

Att tillskriva en attack till någon grupp eller nationalstat kan vara svårt. Genom att göra djupdykning i den faktiska skadliga programvaran som används, stödsystemen och till och med spåra mål, kan det vara möjligt att länka enskilda stammar av skadlig programvara till en APT ganska säkert och att länka den APT till ett land.

Många av dessa mycket avancerade utnyttjar delar kodbitar från andra utnyttjande. Specifika attacker kan till och med utnyttja samma nolldagars sårbarheter. Dessa gör att incidenterna kan länkas och spåras snarare än som en engångsföreteelse, extraordinär skadlig programvara.

Att spåra många åtgärder från en APT gör det möjligt att bygga upp en karta över sina valda mål. Detta, i kombination med kunskap om geopolitiska spänningar, kan åtminstone begränsa listan över potentiella statliga sponsorer. Ytterligare analys av språket som används i skadlig programvara kan ge tips, även om dessa också kan förfalskas för att uppmuntra felaktig tillskrivning.

De flesta cyberattacker från APT kommer med rimlig förnekelse eftersom ingen äger upp till dem. Detta tillåter varje ansvarig nation att utföra handlingar som den inte nödvändigtvis vill förknippas med eller anklagas för. Eftersom de flesta APT-grupper med tillförsikt tillskrivs specifika nationalstater, och det antas att dessa nationalstater har ännu mer information att basera den tillskrivningen på, är det rimligtvis troligt att alla vet vem som är ansvarig för vad. Om någon nation officiellt anklagade en annan för en attack, skulle de sannolikt vara på väg mot en vedergällning. Genom att spela dum får alla behålla sin trovärdiga förnekelse.

Exempel

Många olika grupper namnger APT:s andra saker, vilket komplicerar att spåra dem. Vissa namn är bara numrerade beteckningar. Vissa är baserade på länkade exploit-namn är baserade på stereotypa namn.

Det finns minst 17 APT:er som tillskrivs Kina. Ett APT-nummer, såsom APT 1, hänvisar till några. APT 1 är också specifikt PLA Unit 61398. Minst två kinesiska APT har fått namn med drakar: Double Dragon och Dragon Bridge. Det finns också Numbered Panda och Red Apollo.

Många APTs som tillskrivs Iran har "kattunge" i namnet. Till exempel Helix Kitten, Charming Kitten, Remix Kitten och Pioneer Kitten. Ryska APT innehåller ofta björnnamn, inklusive Fancy Bear, Cozy Bear, Bezerk Bear, Venomous Bear och Primitive Bear. Nordkorea har tillskrivits tre APT:er: Ricochet Chollima, Lazarus Group och Kimsuky.

Israel, Vietnam, Uzbekistan, Turkiet och USA har minst en tillskriven APT. En USA-tillskriven APT kallas Equation Group, som tros vara NSA:s TAO eller Tailored Access Operations-enhet. Gruppen har fått sitt namn från namnet på några av dess bedrifter och dess tunga användning av kryptering.

Ekvationsgruppen anses allmänt vara den mest avancerade av alla APT. Det är känt att ha blockerat enheter och modifierat dem för att inkludera skadlig programvara. Den hade också flera delar av skadlig programvara som var unikt kapabla att infektera den fasta programvaran på hårddiskar från olika tillverkare, vilket gjorde att skadlig programvara kvarstår över fullständiga diskrensningar, ominstallationer av operativsystem och allt annat än att förstöra hårddiskar. Denna skadliga programvara var omöjlig att upptäcka eller ta bort och skulle ha krävt tillgång till källkoden för enhetens firmware för att utvecklas.

Slutsats

APT står för Advanced Persistent Threat och är en term som används för att hänvisa till mycket avancerade hackningsgrupper, vanligtvis med påstådda länkar till nationalstater. Nivån av skicklighet, tålamod och engagemang som APT:er visar är oöverträffad i den kriminella världen. I kombination med de ofta politiska målen är det ganska uppenbart att dessa inte är dina genomsnittliga hacking-for-money-grupper. Istället för högljudda dataintrång tenderar APT:er att vara subtila och täcka sina spår så mycket som möjligt.

I allmänhet behöver den genomsnittliga användaren inte oroa sig för APT. De spenderar bara sin tid på mål som är särskilt värdefulla för dem. Den genomsnittliga personen döljer inte hemligheter som en nationalstat anser vara värdefulla. Det är bara större företag, särskilt de som utför statligt arbete, och särskilt inflytelserika personer som realistiskt sett riskerar att bli måltavla. Självklart ska alla ta sin säkerhet, liksom sitt företags säkerhet, på allvar.

Den allmänna uppfattningen i säkerhetsvärlden är dock att om en APT bestämmer sig för att du är intressant, kommer de att kunna hacka dina enheter på något sätt, även om de måste spendera miljontals dollar av tid i forskning och utveckling. Detta kan ses i de få fall av skadlig programvara som noggrant utformats för att hoppa över "luftgap" såsom Stuxnet-masken .