APT-Lebenszyklus: Vom Erstzugriff zur Persistenz

Eine Advanced Persistent Threat (APT) ist eine ausgeklügelte, langfristig angelegte Cyberangriffskampagne, die typischerweise von staatlich unterstützten Akteuren oder gut finanzierten kriminellen Gruppen mit konkreten strategischen Zielen durchgeführt wird. Die drei charakteristischen Merkmale sind: Advanced – Einsatz maßgeschneiderter Malware, von Zero-Day-Exploits und neuartiger Techniken; Persistent – Aufrechterhaltung einer verdeckten Präsenz über Monate oder Jahre, nicht nur eine kurzzeitige Hauruck-Aktion; Threat – ein koordinierter, gezielter Angriff auf eine bestimmte Organisation. Bekannte APT-Gruppen sind APT28 (Fancy Bear), die mit dem russischen GRU in Verbindung gebracht wird, APT41, die mit China in Verbindung gebracht wird, und die Lazarus Group, die mit Nordkorea in Verbindung gebracht wird.

APT-Kampagnen beginnen typischerweise mit einer von wenigen bewährten Techniken für den ersten Zugriff. Spear-Phishing mit manipulierten Anhängen oder Links zum Abgreifen von Zugangsdaten ist die häufigste Methode – die E-Mail scheint von einem vertrauenswürdigen Kollegen oder Partner zu stammen. Bei einer Kompromittierung der Lieferkette (wie bei SolarWinds/SUNBURST) wird Schadcode in vertrauenswürdige Softwareaktualisierungen eingeschleust. Bei der Ausnutzung internetseitig erreichbarer Dienste (VPN-Appliances, Exchange-Server, Webanwendungen) werden ungepatchte CVEs ausgenutzt. Bei Watering-Hole-Angriffen werden Websites kompromittiert, die von Mitarbeitern der Zielorganisation häufig besucht werden, um Besuchern Drive-by-Exploits bereitzustellen.

Nach dem ersten Zugriff muss der Angreifer seine erste Payload auf dem Zielsystem ausführen. APTs bevorzugen Techniken, die sich in normale Systemaktivitäten einfügen: schädliche Makros in Office-Dokumenten, die ausgeführt werden, sobald das Opfer Inhalte aktiviert; HTML-Application-(HTA)-Dateien, die beim Öffnen Skripte ausführen; Living-off-the-Land-Binaries (LOLBins) – die Verwendung legitimer Windows-Tools wie mshta.exe, certutil.exe, regsvr32.exe oder wscript.exe zum Ausführen von Angreifercode und zum Umgehen von Anwendungs-Allowlists. Diese Techniken erschweren die Unterscheidung der ersten Payloads von legitimen Systemaktivitäten.

Sobald die erste Payload ausgeführt wird, baut sie einen Command-and-Control-(C2)-Kanal zur Infrastruktur des Angreifers auf. Moderne APT-C2-Kanäle verwenden Techniken, die der Erkennung entgehen sollen: HTTPS zu täuschend ähnlichen Domains, die legitime Cloud-Dienste (Teams, OneDrive, GitHub) nachahmen; DNS-Tunneling – Befehle werden in Abfragen von DNS-TXT-Records kodiert, die wie normaler DNS-Datenverkehr erscheinen; Domain Generation Algorithms (DGAs), die ausgehend von einem Ausgangswert täglich eine neue C2-Domain erzeugen, wodurch das Blockieren von Domains unwirksam wird; sowie C2 nach dem Living-off-the-Land-Prinzip, bei dem legitime Cloud-Plattformen (Slack API, Google Sheets, Twitter) als Kommunikationskanal verwendet werden.

Nach der Einrichtung des C2-Kanals führen APT-Akteure eine interne Aufklärung durch, um die Umgebung zu verstehen, bevor sie weiter vordringen. Dazu gehören: die Aufzählung von Active Directory mit Tools wie BloodHound, um Vertrauensbeziehungen abzubilden und besonders wertvolle Ziele zu identifizieren; Netzwerk-Scans, um aktive Hosts, Dienste und offene Ports zu ermitteln; die Suche nach Zugangsdaten in Dateisystemen, etwa nach Konfigurationsdateien, Passwortdatenbanken oder in Browsern gespeicherten Zugangsdaten; sowie die Aufzählung von Identitäten, um privilegierte Konten, Dienstkonten und Administratorarbeitsplätze zu identifizieren. Für die meisten Aufklärungsaktivitäten werden native Windows-Tools (net user /domain, ipconfig, nltest) verwendet, um einer Erkennung zu entgehen.

APTs verschaffen sich typischerweise zunächst mit eingeschränkten Benutzerzugangsdaten Zugriff und müssen dann ihre Berechtigungen ausweiten, um ihre Ziele zu erreichen. Häufige Wege zur Rechteausweitung sind: Diebstahl von Zugangsdaten aus dem Arbeitsspeicher mit Mimikatz (Extrahieren von NTLM-Hashes aus dem Speicher des LSASS-Prozesses); Kerberoasting (Anfordern von Service-Tickets für Dienstkonten und deren Offline-Cracking); die Ausnutzung fehlkonfigurierter Dienste mit unzureichenden Berechtigungen (unsichere Pfade zu Dienst-Binärdateien, DLL-Hijacking); sowie Token-Impersonation, um das Authentifizierungstoken eines privilegierten Prozesses zu stehlen. Techniken zum Umgehen der Benutzerkontensteuerung (UAC) ermöglichen den Wechsel von einem Standardadministrator zu SYSTEM, ohne eine UAC-Abfrage auszulösen.

APTs investieren erheblich in Persistenzmechanismen, die Neustarts und eine erneute Bereitstellung von Images überstehen, da der erste Zugriff möglicherweise schwierig und kostspielig war. Häufige Windows-Techniken zur Persistenz sind: Registry-Run-Keys (HKLM\Software\Microsoft\Windows\CurrentVersion\Run); geplante Tasks, die Malware regelmäßig ausführen; Windows-Dienste, die automatisch gestartet werden; WMI-Ereignisabonnements (schwer zu erkennen und gegenüber den meisten Bereinigungsmaßnahmen persistent); DLL-Suchreihenfolge-Hijacking; sowie Boot-/Pre-OS-Implants (UEFI-Firmware-Implants, die Neuinstallationen des Betriebssystems überstehen und von der Equation Group bzw. mit der NSA in Verbindung stehenden Akteuren eingesetzt wurden).

APTs setzen umfangreiche Schutzmaßnahmenumgehung ein, um der Erkennung durch Endpoint-Sicherheitstools und Analysten zu entgehen. Zu den Techniken gehören: Prozessinjektion – dabei wird schädlicher Code in legitime Prozesse wie explorer.exe oder svchost.exe eingeschleust, sodass die Malware unter dem Namen eines vertrauenswürdigen Prozesses ausgeführt wird; Timestomping – dabei werden Dateizeitstempel verändert, damit schädliche Dateien den Eindruck erwecken, bereits seit Jahren zu existieren; Löschen und Manipulieren von Protokollen – dabei werden Windows-Ereignisprotokolle geleert, um Spuren zu beseitigen; Missbrauch von Code-Signing-Zertifikaten – dabei wird Malware mit gestohlenen legitimen Zertifikaten signiert; sowie Ausführung im Arbeitsspeicher (dateilose Malware), bei der nie auf die Festplatte zugegriffen wird, wo dateibasierte Antivirensoftware sie erkennen würde.

APTs steuern die Datenexfiltration sorgfältig, um DLP-Kontrollen und die Erkennung von Bandbreitenanomalien nicht auszulösen. Zu den Techniken gehören: Bereitstellen der Daten – dabei werden die anvisierten Daten in einem verschlüsselten Archiv gesammelt, bevor sie über mehrere Tage hinweg in kleinen Teilen exfiltriert werden; HTTPS-Exfiltration zu Cloud-Speicherdiensten (OneDrive, Dropbox), die von den Regeln der Unternehmensfirewall zugelassen werden; Steganografie – dabei werden Daten in Bilddateien versteckt; sowie zeitbasierte Exfiltration während der Geschäftszeiten, um sich in den legitimen Datenverkehr einzufügen. APTs exfiltrieren nur die benötigten Daten (wertvolles geistiges Eigentum, Zugangsdaten, strategische Pläne), statt alles massenhaft zu kopieren – dadurch minimieren sie ihre Spuren und die Wahrscheinlichkeit einer Entdeckung.

Für die Erkennung von APTs müssen Sie über einzelne Warnmeldungen hinausgehen und Muster zusammenhängender Aktivitäten entlang der gesamten Kill Chain identifizieren. Zu den wichtigen Indikatoren gehören: ungewöhnliche Eltern-Kind-Prozessbeziehungen (z. B. Word startet PowerShell); kodierte PowerShell-Befehle oder Downloads aus dem Internet; zu ungewöhnlichen Zeiten erstellte geplante Tasks oder Dienste; Zugriffe auf den LSASS-Speicher durch Nicht-Systemprozesse; laterale Bewegung über SMB oder WMI von Workstations aus; sowie ungewöhnliche ausgehende DNS-Abfragen mit langen Subdomain-Namen. Mit dem MITRE ATT&CK Navigator können Verteidiger erkannte Techniken der ATT&CK-Matrix zuordnen und Lücken in ihrer Erkennungsabdeckung identifizieren.

Die Reaktion auf eine aktive APT erfordert ein sorgfältiges Gleichgewicht: die Bedrohung eindämmen, ohne den Angreifer zu alarmieren. Eine zu frühe Eindämmung (Blockieren des C2-Datenverkehrs, Deaktivieren von Konten) kann dazu führen, dass die APT destruktive Payloads aktiviert oder die Exfiltration beschleunigt. Zu den Best Practices gehören: verdeckte Überwachung während der Sammlung von Informationen; schrittweise Segmentierung infizierter Hosts mithilfe von Firewallregeln, ohne C2 zu blockieren; Einführung von Täuschungstechnologien (Honeytokens, Canary-Konten) zur Überwachung der Angreiferaktivität; sowie Abstimmung mit den Strafverfolgungsbehörden vor umfangreichen Eindämmungsmaßnahmen. Eine vollständige Bereinigung erfordert die Identifizierung aller Persistenzmechanismen und kompromittierten Konten – ein einziges übersehenes Implantat genügt, damit der Angreifer zurückkehrt.

Testen Sie Ihr Verständnis der CompTIA-Security+-Konzepte (SY0-701) aus dieser Lektion.

In dieser Lektion haben Sie gelernt: APTs sind fortschrittliche, persistente und zielgerichtete Kampagnen, die typischerweise monatelang aktiv sind und für den initialen Zugriff Spear-Phishing, Supply-Chain-Angriffe oder die Ausnutzung von Schwachstellen einsetzen; APTs verwenden LOLBins und legitime Cloud-Dienste für C2, um sich in normalen Datenverkehr einzufügen und einer Erkennung zu entgehen; und Persistenzmechanismen reichen von Registry-Run-Keys bis zu UEFI-Firmware-Implantaten – wobei WMI-Abonnements besonders schwer zu erkennen und zu beseitigen sind. Als Nächstes betrachten wir Techniken der lateralen Bewegung, einschließlich Pass-the-Hash und Pass-the-Ticket.