دورة حياة APT: من الوصول الأولي إلى استخراج البيانات

يشير Advanced Persistent Threat (APT) إلى خصوم متطورين، من دول أو جهات ممولة جيداً، ينفذون حملات موجهة طويلة الأمد. وخلافاً للمهاجمين الانتهازيين، يستثمر مهاجمو APT موارد كبيرة في أهداف محددة عالية القيمة، مثل متعاقدي الدفاع والمؤسسات المالية والوكالات الحكومية.

تصف Cyber Kill Chain الخاصة بـ Lockheed Martin عمليات APT في سبع مراحل: الاستطلاع، والتسليح، والإيصال، والاستغلال، والتثبيت، والقيادة والتحكم (C2)، وتنفيذ الإجراءات على الأهداف. ويمكن للمدافعين تعطيل الحملة عبر كسر أي حلقة من حلقاتها.

ينفذ مهاجمو APT عمليات OSINT سلبية واسعة النطاق، تشمل ملفات الموظفين على LinkedIn، لتحديد مسؤولي IT؛ وإعلانات الوظائف، لكشف حزمة التقنيات؛ ومستودعات GitHub، التي قد تسرب شيفرة داخلية؛ وعمليات البحث في Shodan، للعثور على الخدمات المكشوفة؛ وسجلات شفافية الشهادات، لاكتشاف النطاقات الفرعية.

بعد الاستطلاع، يصمم مهاجمو APT مستندات مستهدفة مُسلّحة، مثل وحدات ماكرو في Excel تستغل CVE كُشف عنها حديثاً، أو ملفات PDF تتضمن JavaScript، أو تحديثات برمجيات أُدخلت فيها برمجيات خبيثة. ويكون الإيصال عادةً عبر التصيد الموجّه إلى أهداف عالية القيمة جرى تحديدها، أو عبر اختراقات استراتيجية لمواقع الويب (watering holes).

يستخدم الاستغلال ثغرات zero-day أو ثغرات CVE معروفة ضد الأنظمة غير المصححة. ويؤسس التثبيت للاستمرارية من خلال المهام المجدولة، ومفاتيح Run في السجل، وتثبيت الخدمات، واشتراكات WMI، أو زرعات bootkit. ويفضل مهاجمو APT زرعات خفيفة في المرحلة الأولى لتنزيل مجموعة الأدوات الكاملة بعد الاختراق.

يمتزج C2 لدى مهاجمي APT مع حركة المرور العادية باستخدام HTTPS مع موفري CDN، ونفق DNS، وإخفاء النطاق، وC2 القائم على وسائل التواصل الاجتماعي، مثل النشر على Twitter أو GitHub. وتتجنب فواصل الإشارة الطويلة، التي تمتد لساعات أو أيام، اكتشاف الأنماط. كما تؤدي الاتصالات المشفرة مع تثبيت الشهادة إلى إحباط فحص SSL.

ينتقل مهاجمو APT أفقياً باستخدام بيانات اعتماد مخترقة وتقنيات Pass-the-Hash وKerberoasting وأدوات living-off-the-land. ويحددون خريطة الشبكة، ويكتشفون الأهداف عالية القيمة مثل وحدات تحكم النطاق وخوادم الملفات ومستودعات البيانات، وينشئون نقاط استمرارية متعددة لتوفير التكرار.

يصعّد مهاجمو APT صلاحياتهم من مستخدم إلى مسؤول ثم إلى مسؤول نطاق. وتشمل التقنيات: تصعيد الامتيازات محلياً، عبر استغلالات النواة أو أخطاء إعداد الخدمات؛ وتنفيذ Kerberoasting ضد حسابات الخدمات؛ واستخدام DCSync لتفريغ NTDS.dit؛ وتنفيذ هجمات Golden/Silver Ticket للحصول على وصول مستمر إلى النطاق يصعب اكتشافه.

تختلف المرحلة النهائية حسب دافع مهاجم APT: التجسس، عبر استخراج مستندات سرية أو ملكية فكرية أو اتصالات؛ والتخريب، عبر هجمات تدميرية على غرار Stuxnet؛ والسرقة المالية، عبر التلاعب بمعاملات SWIFT؛ أو إنشاء وصول مستمر لعمليات مستقبلية من دون تنفيذ نشاط صاخب فوراً.

يستخرج مهاجمو APT البيانات ببطء لتجنب الاكتشاف، وذلك بتقسيم مجموعات البيانات الكبيرة إلى عمليات نقل صغيرة على مدى أسابيع، واستخدام أرشيفات مشفرة، وضغط البيانات قبل نقلها، وتجميعها على أنظمة وسيطة مخترقة، واستخراجها عبر خدمات سحابية مشروعة مثل OneDrive وDropbox للاندماج مع حركة المرور العادية.

يمكن للمدافعين تعطيل مهاجمي APT في كل مرحلة: إذ يعطل تصفية البريد الإلكتروني الإيصال، ويعطل التصحيح الاستغلال، ويعطل EDR التثبيت، ويحد تقسيم الشبكة من الحركة الجانبية، وتحمي محطات العمل المخصصة للوصول المميز بيانات الاعتماد، وتكتشف أدوات منع فقدان البيانات استخراج البيانات.

في Cyber Kill Chain، في أي مرحلة يؤسس المهاجم للاستمرارية على نظام مخترق؟

تتبع حملات APT دورة حياة منظمة تبدأ باستطلاع OSINT، ثم التسليح والإيصال والاستغلال وإنشاء C2 والحركة الجانبية وتصعيد الامتيازات واستخراج البيانات. ويتيح فهم كل مرحلة للمدافعين كسر Cyber Kill Chain قبل أن يصل الخصوم إلى أهدافهم.