Threat attribution en campagnes volgen

Bij een analyse van overlap in code worden kenmerken van malwarebinaries vergeleken: overeenkomst op functieniveau via BinDiff, unieke tekenreeksconstanten, de taal van foutmeldingen, sporen van de compiler en hergebruik van code uit gedeelde hulpmiddelen voor het bouwen van malware. APT's hergebruiken code in verschillende campagnes, waardoor koppelbare vingerafdrukken ontstaan, zelfs bij verschillende malwarefamilies.

Aanvallers hergebruiken infrastructuur: hetzelfde C2-IP-adres waarop meerdere campagnes worden gehost, SSL-certificaten die voor verschillende domeinen opnieuw worden gebruikt, voorkeuren voor ASN's en patronen bij hostingproviders. Passieve DNS brengt infrastructuur in de loop van de tijd met elkaar in verband — een C2-domein uit de ene campagne dat verwijst naar een IP-adres dat in een andere campagne is gebruikt, brengt die campagnes met elkaar in verband.

MITRE ATT&CK-groepen beschrijven TTP's (Tactieken, Technieken en Procedures) van bekende dreigingsactoren. Door waargenomen TTP's bij een incident te vergelijken met groepsprofielen van ATT&CK, kunnen kandidaatactoren worden geïdentificeerd. Geen enkele TTP is uniek — attributie vereist clusters van overlappende technieken en hulpmiddelen.

Geavanceerde actoren plaatsen opzettelijk vals bewijs: codestrings in de verkeerde taal, infrastructuur die overeenkomt met die van andere bekende actoren of timing die aansluit bij bekende activiteit van een andere groep. Schrijf een aanval nooit toe op basis van één indicator — valse vlaggen zijn specifiek gericht op methoden die attributie op basis van één indicator gebruiken.

De naamgevingsconventies van leveranciers verschillen: Mandiant gebruikt APT-nummers (APT28), Microsoft gebruikt weerthema's (Midnight Blizzard) en CrowdStrike gebruikt diernamen (Fancy Bear). Dezelfde actor kan meer dan tien namen hebben. MITRE ATT&CK-groepen bundelen aliassen voor dezelfde actor uit rapporten van verschillende leveranciers.

Het Diamantmodel beschrijft elke inbraak aan de hand van vier kenmerken: tegenstander, capaciteit (malware/TTP), infrastructuur (C2-IP-adressen en domeinen) en slachtoffer. Relaties tussen kenmerken vormen een graaf voor het volgen van campagnes. Door vanuit elk kenmerk verder te zoeken, worden verbonden incidenten en activiteiten van actoren zichtbaar.

APT-campagnes duren maanden of jaren. Volg campagnes aan de hand van: consistente doelwitpatronen (dezelfde bedrijfstak), de ontwikkeling van malware (nieuwe versies van dezelfde familie), patronen in de rotatie van infrastructuur en consistentie van TTP's. Door incidenten op een tijdlijn te plaatsen, worden campagnefasen en veranderingen in de intentie zichtbaar.

Betrouwbaarheidsniveaus van inlichtingen zijn: laag (enkele zwakke indicatoren), gemiddeld (meerdere elkaar bevestigende technische indicatoren) en hoog (technisch, operationeel en contextueel bewijs, bevestigd door onafhankelijke onderzoekers). Attributie door overheden kan geclassificeerde inlichtingeninformatie bevatten die niet in openbare rapporten staat — waardoor het opgegeven betrouwbaarheidsniveau hoger kan zijn dan wat technische analyse alleen rechtvaardigt.

Openbare attributie beïnvloedt beleid, rechtshandhaving en de reactie van de sector. Voortijdige of onjuiste attributie veroorzaakt diplomatieke incidenten en leidt defensieve middelen verkeerd. Verantwoordelijke attributie vereist strenge bewijsnormen, erkenning van onzekerheid en het bijstellen van conclusies wanneer nieuw bewijs beschikbaar komt.

Dreigingsattributie combineert overeenkomst in malwarecode, analyse van hergebruikte infrastructuur, het in kaart brengen van TTP's bij ATT&CK-groepen en het Diamantmodel om profielen van actoren op basis van bewijs op te stellen. Attributie met hoge betrouwbaarheid vereist meerdere onafhankelijke bewijslijnen, bewustzijn van operaties met valse vlaggen en een passende kalibratie van het betrouwbaarheidsniveau.