APT-livscyklus: fra første adgang til persistence

Efter at have opnået indledende adgang skal angriberen køre sin første nyttelast på målsystemet. APT'er foretrækker teknikker, der ligner normal systemaktivitet: skadelige makroer i Office-dokumenter, som køres, når offeret aktiverer indhold; HTML Application-filer (HTA-filer), som kører scripts, når de åbnes; Living-off-the-Land-binærfiler (LOLBins) – brug af legitime Windows-værktøjer som mshta.exe, certutil.exe, regsvr32.exe eller wscript.exe til at køre angriberkode og omgå lister over tilladte applikationer. Disse teknikker gør det vanskeligt at skelne de første nyttelaster fra legitim systemaktivitet.

Når den første nyttelast kører, opretter den en Command and Control (C2)-kanal tilbage til angriberens infrastruktur. Moderne APT-C2 anvender teknikker, der er udviklet til at undgå registrering: HTTPS til domæner, der ligner kendte domæner, og som efterligner legitime cloud-tjenester (Teams, OneDrive, GitHub); DNS-tunneling – kommandoer kodes i forespørgsler efter DNS TXT-poster, der ligner normal DNS-trafik; domænegenereringsalgoritmer (DGA'er), der hver dag genererer et nyt C2-domæne ud fra et starttal, så blokering af domæner bliver ineffektiv; og C2 efter princippet living-off-the-land, hvor legitime cloud-platforme (Slack API, Google Sheets, Twitter) bruges som kommunikationskanal.

Efter at have etableret C2 udfører APT-aktører intern rekognoscering for at forstå miljøet, før de går videre. Det omfatter: optælling af Active Directory med værktøjer som BloodHound for at kortlægge tillidsrelationer og identificere værdifulde mål; netværksscanning for at identificere aktive værter, tjenester og åbne porte; opdagelse af legitimationsoplysninger ved at søge i filsystemer efter konfigurationsfiler, adgangskodedatabaser eller legitimationsoplysninger, der er gemt i browsere; og identitetsoptælling for at identificere privilegerede konti, tjenestekonti og administratorarbejdsstationer. Det meste af opdagelsesaktiviteten bruger oprindelige Windows-værktøjer (net user /domain, ipconfig, nltest) for at undgå registrering.

APT'er opnår typisk indledende adgang med begrænsede brugerlegitimationsoplysninger og skal forøge deres rettigheder for at nå deres mål. Almindelige veje til rettighedsforøgelse omfatter: tyveri af legitimationsoplysninger fra hukommelsen med Mimikatz (udtrækning af NTLM-hashes fra LSASS-processens hukommelse); Kerberoasting (anmodning om tjenestebilletter til tjenestekonti og knækning af dem offline); udnyttelse af fejlkonfigurerede tjenester med svage tilladelser (usikre stier til tjenestebinærfiler og DLL-kapring); og personificering af tokens for at stjæle godkendelsestokenet fra en privilegeret proces. Teknikker til omgåelse af User Account Control (UAC) gør det muligt at gå fra almindelig administrator til SYSTEM uden at udløse en UAC-prompt.

APT'er investerer massivt i mekanismer til vedvarende adgang, der overlever genstarter og genafbildning, fordi den indledende adgang kan have været vanskelig og dyr at opnå. Almindelige Windows-teknikker til vedvarende adgang er: Registry Run Keys (HKLM\Software\Microsoft\Windows\CurrentVersion\Run); Scheduled Tasks, der kører malware efter en fast plan; Windows Services, der starter automatisk; WMI Event Subscriptions (svære at opdage og overlever de fleste oprydningsforsøg); DLL Search Order Hijacking; og Boot/Pre-OS-implantater (UEFI-firmwareimplantater, der overlever geninstallation af operativsystemet, og som bruges af aktører fra Equation Group/NSA).

APT'er anvender omfattende forsvarsundvigelse for at undgå at blive opdaget af sikkerhedsværktøjer på slutpunkter og af analytikere. Teknikkerne omfatter: procesinjektion — indsættelse af skadelig kode i legitime processer som explorer.exe eller svchost.exe, så malwaren kører under navnet på en betroet proces; ændring af tidsstempler — ændring af filers tidsstempler, så skadelige filer ser ud til at have eksisteret i årevis; sletning og manipulation af logge — rydning af Windows-hændelseslogge for at fjerne beviser; misbrug af kodesigneringscertifikater — signering af malware med stjålne, legitime certifikater; samt kørsel i hukommelsen (filløs malware), som aldrig skriver til disken, hvor filbaseret antivirus ville kunne opdage den.

APT'er håndterer dataeksfiltration omhyggeligt for at undgå at udløse DLP-kontroller og registrering af unormal båndbredde. Teknikkerne omfatter: klargøring af data — indsamling af målrettede data i et krypteret arkiv, før de eksfiltreres i små dele over flere dage; HTTPS-eksfiltration til cloudlagringstjenester (OneDrive, Dropbox), som er tilladt af virksomhedens firewallregler; steganografi — skjul af data i billedfiler; samt tidsbaseret eksfiltration i arbejdstiden for at ligne legitim trafik. APT'er eksfiltrerer kun det, de har brug for (værdifuld intellektuel ejendom, legitimationsoplysninger og strategiske planer) i stedet for at kopiere alt i store mængder — hvilket minimerer deres spor og sandsynligheden for at blive opdaget.

Registrering af APT'er kræver, at du ser ud over individuelle alarmer for at identificere mønstre af relateret aktivitet på tværs af hele angrebskæden. Vigtige indikatorer omfatter: usædvanlige relationer mellem overordnede og underordnede processer (f.eks. at Word starter PowerShell); PowerShell-kommandoer med kodning eller downloads fra internettet; planlagte opgaver eller tjenester, der oprettes på usædvanlige tidspunkter; LSASS-adgang til hukommelsen fra processer, der ikke er systemprocesser; lateral bevægelse via SMB eller WMI fra arbejdsstationer; samt usædvanlige udgående DNS-forespørgsler med lange underdomænenavne. MITRE ATT&CK Navigator gør det muligt for forsvarere at knytte registrerede teknikker til ATT&CK-matricen og identificere huller i deres dækningsgrad for registrering.

Håndtering af en aktiv APT kræver en omhyggelig balance: Inddæm truslen uden at advare angriberen. For tidlig inddæmning (blokering af C2-trafik, deaktivering af konti) kan få APT'en til at aktivere destruktive nyttelaster eller fremskynde eksfiltrationen. Anbefalede fremgangsmåder omfatter: skjult overvågning, mens du indsamler efterretninger; gradvis segmentering af inficerede værter ved hjælp af firewallregler uden at blokere C2; implementering af vildledningsteknologier (honeytokens og kanarikonti) til overvågning af angriberens aktivitet; samt koordinering med politiet før større inddæmningshandlinger. Fuld udbedring kræver, at du identificerer alle mekanismer til vedvarende adgang og kompromitterede konti — ét overset implantat er nok til, at angriberen vender tilbage.

I denne lektion har du lært, at APT'er er avancerede, vedvarende og målrettede kampagner, som typisk opererer i månedsvis ved hjælp af spear phishing, angreb på forsyningskæden eller udnyttelse af sårbarheder for at opnå indledende adgang, at APT'er bruger LOLBins og legitime cloudtjenester til C2 for at ligne normal trafik og undgå registrering, samt at mekanismer til vedvarende adgang spænder fra Registry Run Keys til UEFI-firmwareimplantater — hvor WMI-abonnementer er særligt vanskelige at registrere og udbedre. Næste gang gennemgår vi teknikker til lateral bevægelse, herunder Pass-the-Hash og Pass-the-Ticket.