Kitar Hayat APT: Akses Awal hingga Kegigihan

Ancaman Berterusan Lanjutan (APT) ialah kempen serangan siber yang canggih dan berjangka panjang, biasanya dijalankan oleh pelaku negara atau kumpulan penjenayah yang dibiayai dengan baik, dengan objektif strategik tertentu. Tiga ciri yang mentakrifkannya ialah: Advanced — menggunakan perisian hasad tersuai, kerentanan sifar hari dan teknik baharu; Persistent — mengekalkan kehadiran secara senyap selama berbulan-bulan atau bertahun-tahun, bukan operasi serang dan lari; Threat — serangan terselaras dan disasarkan terhadap organisasi tertentu. Kumpulan APT yang terkenal termasuk APT28 (Fancy Bear) yang dikaitkan dengan GRU Rusia, APT41 yang dikaitkan dengan China dan Lazarus Group yang dikaitkan dengan Korea Utara.

Kempen APT biasanya bermula dengan salah satu daripada beberapa teknik akses awal yang telah terbukti. Pemancingan data bersasar menggunakan lampiran bersenjata atau pautan pencuri kelayakan ialah kaedah yang paling lazim — e-mel tersebut kelihatan seolah-olah datang daripada rakan sekerja atau rakan kongsi yang dipercayai. Pencerobohan rantaian bekalan (seperti SolarWinds/SUNBURST) menyisipkan kod berniat jahat ke dalam kemas kini perisian yang dipercayai. Eksploitasi perkhidmatan yang menghadap internet (peralatan VPN, pelayan Exchange dan aplikasi web) menggunakan CVE yang belum ditampal. Serangan lubang siraman menjejaskan laman web yang kerap dilawati oleh pekerja organisasi sasaran dan menghantar eksploit pandu lalu kepada pelawat.

Selepas memperoleh akses awal, penyerang perlu melaksanakan muatan pertama mereka pada sistem sasaran. APT cenderung memilih teknik yang sebati dengan aktiviti sistem biasa: makro berniat jahat dalam dokumen Office yang dilaksanakan apabila mangsa mendayakan kandungan; fail Aplikasi HTML (HTA) yang melaksanakan skrip apabila dibuka; Perduaan Hidup daripada Tanah (LOLBins) — menggunakan alat Windows yang sah seperti mshta.exe, certutil.exe, regsvr32.exe atau wscript.exe untuk melaksanakan kod penyerang dan memintas senarai benarkan aplikasi. Teknik ini menyukarkan pembezaan muatan awal daripada aktiviti sistem yang sah.

Setelah muatan awal berjalan, muatan tersebut mewujudkan saluran Perintah dan Kawalan (C2) kembali ke infrastruktur penyerang. C2 APT moden menggunakan teknik yang direka untuk mengelakkan pengesanan: HTTPS ke domain yang menyerupai domain sah dan meniru perkhidmatan awan yang sah (Teams, OneDrive, GitHub); terowong DNS — mengekodkan perintah dalam pertanyaan rekod DNS TXT yang kelihatan seperti trafik DNS biasa; Algoritma Penjanaan Domain (DGA) yang menghasilkan domain C2 baharu setiap hari daripada nilai benih, menjadikan penyekatan domain tidak berkesan; serta C2 menggunakan sumber sedia ada melalui platform awan yang sah (API Slack, Google Sheets, Twitter) sebagai saluran komunikasi.

Selepas membentuk C2, pelaku APT menjalankan peninjauan dalaman untuk memahami persekitaran sebelum bergerak lebih jauh. Ini termasuk: penghitungan Active Directory menggunakan alat seperti BloodHound untuk memetakan hubungan kepercayaan dan mengenal pasti sasaran bernilai tinggi; pengimbasan rangkaian untuk mengenal pasti hos yang aktif, perkhidmatan dan port terbuka; penemuan kelayakan dengan mencari fail konfigurasi, pangkalan data kata laluan atau kelayakan yang disimpan dalam pelayar pada sistem fail; serta penghitungan identiti untuk mengenal pasti akaun berkeistimewaan, akaun perkhidmatan dan stesen kerja pentadbir. Kebanyakan aktiviti penemuan menggunakan alat Windows asli (net user /domain, ipconfig, nltest) untuk mengelakkan pengesanan.

APT biasanya memperoleh akses awal dengan kelayakan pengguna terhad dan mesti meningkatkan keistimewaan untuk mencapai objektifnya. Laluan peningkatan yang lazim termasuk: kecurian kelayakan daripada memori menggunakan Mimikatz (mengekstrak cincangan NTLM daripada memori proses LSASS); Kerberoasting (meminta tiket perkhidmatan untuk akaun perkhidmatan dan memecahkannya secara luar talian); mengeksploitasi perkhidmatan yang salah konfigurasi dengan keizinan lemah (laluan perduaan perkhidmatan yang tidak selamat, rampasan DLL); serta penyamaran token untuk mencuri token pengesahan proses berkeistimewaan. Teknik pintasan User Account Control (UAC) membolehkan peralihan daripada pentadbir biasa kepada SYSTEM tanpa mencetuskan gesaan UAC.

APT melabur banyak usaha dalam mekanisme kegigihan yang dapat bertahan selepas but semula dan pemasangan semula, kerana akses awal mungkin sukar dan mahal untuk diperoleh. Teknik kegigihan Windows yang lazim: Kunci Registry Run (HKLM\Software\Microsoft\Windows\CurrentVersion\Run); Task Berjadual yang melaksanakan perisian hasad mengikut jadual tetap; Services Windows yang bermula secara automatik; Langganan WMI Event (sukar dikesan dan bertahan selepas kebanyakan usaha pembersihan); Rampasan Susunan Carian DLL; serta implan But/Pra-OS (implan perisian tegar UEFI yang bertahan selepas pemasangan semula OS, digunakan oleh pelaku Equation Group yang dikaitkan dengan NSA).

APT menggunakan pengelakan pertahanan secara meluas untuk mengelakkan pengesanan oleh alat keselamatan titik akhir dan penganalisis. Tekniknya termasuk: suntikan proses — menyuntik kod berniat jahat ke dalam proses yang sah seperti explorer.exe atau svchost.exe supaya perisian hasad berjalan di bawah nama proses yang dipercayai; pengubahan cap masa — mengubah suai cap masa fail supaya fail berniat jahat kelihatan seolah-olah telah wujud selama bertahun-tahun; pemadaman dan pengubahan log — mengosongkan Log Peristiwa Windows untuk menghapuskan bukti; penyalahgunaan sijil tandatangan kod — menandatangani perisian hasad menggunakan sijil sah yang dicuri; serta pelaksanaan dalam memori (perisian hasad tanpa fail) yang tidak pernah menyentuh cakera, tempat AV berasaskan fail dapat mengesannya.

APT mengurus pengeksfiltratan data dengan teliti untuk mengelakkan pencetus kawalan DLP dan pengesanan anomali lebar jalur. Tekniknya termasuk: pengumpulan data sementara — mengumpulkan data sasaran ke dalam arkib yang disulitkan sebelum mengekfiltrasikannya dalam bahagian kecil selama beberapa hari; pengeksfiltratan HTTPS ke perkhidmatan storan awan (OneDrive, Dropbox) yang dibenarkan oleh peraturan tembok api korporat; steganografi — menyembunyikan data di dalam fail imej; serta pengeksfiltratan berasaskan masa pada waktu bekerja supaya sebati dengan trafik yang sah. APT hanya mengekfiltrasikan perkara yang diperlukan (harta intelek bernilai tinggi, kelayakan, pelan strategik), bukannya menyalin semuanya secara pukal — sekali gus meminimumkan jejak dan kebarangkalian pengesanan.

Pengesanan APT memerlukan pemerhatian melangkaui amaran individu untuk mengenal pasti corak aktiviti berkaitan merentas rantaian pembunuhan. Petunjuk utama termasuk: hubungan proses induk-anak yang luar biasa (contohnya, Word memulakan PowerShell); arahan PowerShell yang dikodkan atau muat turun dari internet; tugas berjadual atau perkhidmatan yang dicipta pada waktu luar biasa; akses memori LSASS oleh proses bukan sistem; pergerakan sisi melalui SMB atau WMI dari stesen kerja; serta pertanyaan DNS keluar yang luar biasa dengan panjang subdomain yang besar. Navigasi MITRE ATT&CK membolehkan pihak pertahanan memetakan teknik yang dikesan kepada matriks ATT&CK dan mengenal pasti jurang dalam liputan pengesanan mereka.

Tindak balas terhadap APT yang sedang aktif memerlukan keseimbangan yang teliti: bendung ancaman tanpa menyedarkan penyerang. Pembendungan pramatang (menyekat trafik C2, melumpuhkan akaun) mungkin menyebabkan APT mengaktifkan muatan pemusnah atau mempercepat pengeksfiltratan. Amalan terbaik termasuk: memantau secara terselindung sambil mengumpulkan risikan; mengasingkan hos yang dijangkiti secara beransur-ansur menggunakan peraturan tembok api tanpa menyekat C2; menggunakan teknologi penipuan (token madu, akaun kenari) untuk memantau aktiviti penyerang; serta berkoordinasi dengan pihak penguat kuasa sebelum mengambil tindakan pembendungan utama. Pemulihan sepenuhnya memerlukan pengenalpastian semua mekanisme kegigihan dan akaun yang terjejas — satu implan yang terlepas bermakna penyerang akan kembali.

Dalam pelajaran ini, anda telah mempelajari bahawa: APT ialah kempen lanjutan, berterusan dan disasarkan yang biasanya beroperasi selama berbulan-bulan menggunakan pancingan data bersasar, serangan rantaian bekalan atau eksploitasi kerentanan untuk mendapatkan akses awal; APT menggunakan LOLBin dan perkhidmatan awan yang sah untuk C2 supaya sebati dengan trafik biasa dan mengelakkan pengesanan; serta mekanisme kegigihan merangkumi Kunci Jalankan Registry hingga implan perisian tegar UEFI — dengan langganan WMI yang amat sukar dikesan dan dipulihkan. Seterusnya, kita akan meneroka teknik pergerakan sisi termasuk Pass-the-Hash dan Pass-the-Ticket.