APT-livssyklus: fra første tilgang til vedvarende tilstedeværelse

Etter å ha oppnådd første tilgang må angriperen kjøre den første payloaden på målsystemet. APT-er foretrekker teknikker som glir inn i normal systemaktivitet: skadelige makroer i Office-dokumenter som kjøres når offeret aktiverer innhold; HTML Application-filer (HTA-filer) som kjører skript når de åpnes; Living-off-the-Land Binaries (LOLBins) – bruk av legitime Windows-verktøy som mshta.exe, certutil.exe, regsvr32.exe eller wscript.exe til å kjøre angriperkode og omgå tillatelseslister for applikasjoner. Disse teknikkene gjør det vanskelig å skille de første payloadene fra legitim systemaktivitet.

Når den første payloaden er kjørt, oppretter den en Command and Control (C2)-kanal tilbake til angriperens infrastruktur. Moderne APT-C2 bruker teknikker som er utviklet for å unngå oppdagelse: HTTPS til etterligningsdomener som ligner på legitime nettskytjenester (Teams, OneDrive, GitHub); DNS-tunnellering – kommandoer kodes i forespørsler etter DNS TXT-poster som ser ut som vanlig DNS-trafikk; Domain Generation Algorithms (DGA-er) som hver dag genererer et nytt C2-domene fra et utgangspunkt, slik at blokkering av domener blir ineffektiv; og C2 basert på living-off-the-land, der legitime nettskyplattformer (Slack API, Google Sheets, Twitter) brukes som kommunikasjonskanal.

Etter at C2 er etablert, gjennomfører APT-aktører intern rekognosering for å forstå miljøet før de går videre. Dette omfatter: opptelling av Active Directory ved hjelp av verktøy som BloodHound for å kartlegge tillitsforhold og identifisere verdifulle mål; nettverksskanning for å identifisere aktive verter, tjenester og åpne porter; oppdagelse av påloggingsinformasjon ved å søke i filsystemer etter konfigurasjonsfiler, passorddatabaser eller påloggingsinformasjon som er lagret i nettlesere; og identitetskartlegging for å identifisere privilegerte kontoer, tjenestekontoer og arbeidsstasjoner for administratorer. Mesteparten av kartleggingsaktiviteten bruker innebygde Windows-verktøy (net user /domain, ipconfig, nltest) for å unngå oppdagelse.

APT-er oppnår vanligvis første tilgang med begrensede brukerlegitimasjoner og må eskalere rettigheter for å nå målene sine. Vanlige veier til eskalering omfatter: tyveri av påloggingsinformasjon fra minnet ved hjelp av Mimikatz (uthenting av NTLM-hashverdier fra minnet til LSASS-prosessen); Kerberoasting (forespørsel om tjenestebilletter for tjenestekontoer og cracking av dem utenfor nettet); utnyttelse av feilkonfigurerte tjenester med svake tillatelser (usikre stier til tjenestebinærfiler, DLL-kapring); og personifisering av token for å stjele autentiseringstokenet til en privilegert prosess. Teknikker for å omgå User Account Control (UAC) gjør det mulig å gå fra standard administratortilgang til SYSTEM uten å utløse en UAC-forespørsel.

APT-er investerer betydelig i mekanismer for vedvarende tilgang som overlever omstarter og reinstalleringer, fordi det kan ha vært vanskelig og kostbart å oppnå den første tilgangen. Vanlige teknikker for vedvarende tilgang i Windows er: Registry Run Keys (HKLM\Software\Microsoft\Windows\CurrentVersion\Run); Scheduled Tasks som kjører skadevare etter en fast tidsplan; Windows Services som starter automatisk; WMI Event Subscriptions (vanskelige å oppdage og overlever de fleste oppryddingsforsøk); DLL Search Order Hijacking; og Boot/Pre-OS-implantater (UEFI-fastvareimplantater som overlever reinstallering av operativsystemet, brukt av Equation Group og aktører med tilknytning til NSA).

APT-er benytter omfattende omgåelse av forsvar for å unngå å bli oppdaget av sikkerhetsverktøy for endepunkter og analytikere. Teknikker omfatter: prosessinjeksjon — å injisere skadelig kode i legitime prosesser som explorer.exe eller svchost.exe, slik at skadevaren kjører under et prosessnavn som anses som pålitelig; timestomping — å endre filers tidsstempler slik at skadelige filer ser ut til å ha eksistert i årevis; sletting og manipulering av logger — å tømme Windows-hendelseslogger for å fjerne spor; misbruk av kodesigneringssertifikater — å signere skadevare med stjålne, legitime sertifikater; og kjøring i minnet (filløs skadevare), som aldri skrives til disken, der filbasert antivirus ville ha oppdaget den.

APT-er håndterer dataeksfiltrering nøye for å unngå å utløse DLP-kontroller og deteksjon av avvikende båndbreddebruk. Teknikker omfatter: klargjøring av data — å samle målrettede data i et kryptert arkiv før de eksfiltreres i små deler over flere dager; HTTPS-eksfiltrering til skylagringstjenester (OneDrive, Dropbox) som er tillatt av virksomhetens brannmurregler; steganografi — å skjule data i bildefiler; og tidsbasert eksfiltrering i arbeidstiden for å gli inn i legitim trafikk. APT-er eksfiltrerer bare det de trenger (verdifull immateriell eiendom, legitimasjon og strategiske planer) i stedet for å kopiere alt i store mengder — noe som minimerer fotavtrykket og sannsynligheten for å bli oppdaget.

Deteksjon av APT-er krever at man ser utover individuelle varsler for å identifisere mønstre av relaterte aktiviteter på tvers av hele angrepskjeden. Viktige indikatorer omfatter: uvanlige foreldre- og underordnede prosessforhold (for eksempel at Word starter PowerShell); PowerShell-kommandoer med koding eller nedlastinger fra Internett; planlagte oppgaver eller tjenester som opprettes på uvanlige tidspunkter; tilgang til LSASS-minnet fra prosesser som ikke er systemprosesser; sideveis forflytning via SMB eller WMI fra arbeidsstasjoner; og uvanlige utgående DNS-spørringer med lange underdomenenavn. MITRE ATT&CK Navigator gjør det mulig for forsvarere å koble oppdagede teknikker til ATT&CK-matrisen og identifisere hull i deteksjonsdekningen.

Håndtering av en aktiv APT krever en nøye balansegang: Begrens trusselen uten å varsle angriperen. For tidlig begrensning (blokkering av C2-trafikk eller deaktivering av kontoer) kan føre til at APT-en aktiverer destruktive nyttelaster eller fremskynder eksfiltreringen. Anbefalte fremgangsmåter omfatter: skjult overvåking mens man innhenter etterretning; gradvis segmentering av infiserte verter ved hjelp av brannmurregler uten å blokkere C2; implementering av villedende teknologier (honningtokens og kanarikontoer) for å overvåke angriperens aktivitet; og koordinering med politiet før større begrensningstiltak. Full utbedring krever at alle mekanismer for vedvarende tilgang og kompromitterte kontoer identifiseres — ett eneste oversett implantat betyr at angriperen kommer tilbake.

I denne leksjonen har De lært at: APT-er er avanserte, vedvarende og målrettede kampanjer som vanligvis pågår i flere måneder og bruker målrettet phishing, forsyningskjedeangrep eller utnyttelse av sårbarheter for å oppnå innledende tilgang; APT-er bruker LOLBins og legitime skytjenester til C2 for å gli inn i normal trafikk og unngå deteksjon; og mekanismer for vedvarende tilgang varierer fra Registry Run Keys til UEFI-fastvareimplantater — der WMI-abonnementer er spesielt vanskelige å oppdage og utbedre. Deretter skal vi se nærmere på teknikker for sideveis forflytning, blant annet Pass-the-Hash og Pass-the-Ticket.