Cykl życia APT: od początkowego dostępu do eksfiltracji

Advanced Persistent Threat (APT) oznacza zaawansowanych przeciwników, często działających w imieniu państw lub dysponujących znacznymi środkami, którzy prowadzą długotrwałe, ukierunkowane kampanie. W przeciwieństwie do napastników działających oportunistycznie grupy APT przeznaczają znaczne zasoby na konkretne cele o wysokiej wartości: wykonawców z branży obronnej, instytucje finansowe i agencje rządowe.

Model Cyber Kill Chain firmy Lockheed Martin opisuje działania APT w siedmiu fazach: rozpoznanie, uzbrojenie, dostarczenie, wykorzystanie podatności, instalacja, dowodzenie i kontrola (C2) oraz działania zmierzające do osiągnięcia celów. Obrońcy mogą przerwać kampanię, przerywając dowolne ogniwo tego łańcucha.

Grupy APT prowadzą szeroko zakrojony pasywny wywiad OSINT: analizują profile pracowników na LinkedIn (identyfikując administratorów IT), oferty pracy (ujawniające stos technologiczny), repozytoria GitHub (z których może wyciekać kod wewnętrzny), wyszukiwania w Shodan (w celu znalezienia ujawnionych usług) oraz rejestry certificate transparency (w celu odkrycia subdomen).

Po rozpoznaniu grupy APT przygotowują ukierunkowane, uzbrojone dokumenty: makra programu Excel wykorzystujące niedawno ujawnioną CVE, pliki PDF z JavaScript lub zmodyfikowane złośliwie aktualizacje oprogramowania. Dostarczenie zwykle odbywa się za pomocą spear phishingu skierowanego do zidentyfikowanych celów o wysokiej wartości albo poprzez strategiczne przejęcie stron internetowych (watering holes).

Wykorzystanie podatności polega na użyciu podatności zero-day lub znanych CVE przeciwko niezałatanym systemom. Instalacja zapewnia utrzymanie dostępu: za pomocą zadań zaplanowanych, kluczy Run w rejestrze, instalacji usług, subskrypcji WMI lub implantów typu bootkit. Grupy APT preferują lekkie implanty pierwszego etapu, które po uzyskaniu dostępu pobierają pełny zestaw narzędzi.

Ruch C2 grup APT upodabnia się do zwykłego ruchu sieciowego: wykorzystuje HTTPS do dostawców CDN, tunelowanie DNS, domain fronting oraz C2 oparte na mediach społecznościowych (publikowanie na Twitterze/GitHub). Długie odstępy między sygnałami (godziny lub dni) pozwalają uniknąć wykrycia wzorców. Szyfrowana komunikacja z przypinaniem certyfikatów utrudnia inspekcję SSL.

Grupy APT przemieszczają się w sieci za pomocą przejętych danych uwierzytelniających, techniki Pass-the-Hash, Kerberoastingu oraz narzędzi living-off-the-land. Mapują sieć, identyfikują cele o wysokiej wartości (kontrolery domeny, serwery plików i repozytoria danych) oraz tworzą wiele punktów utrzymania dostępu na wypadek awarii jednego z nich.

Grupy APT zwiększają uprawnienia użytkownika do administratora, a następnie do administratora domeny. Stosowane techniki obejmują lokalną eskalację uprawnień (wykorzystywanie podatności jądra i błędne konfiguracje usług), Kerberoasting kont usług, DCSync w celu zrzutu NTDS.dit oraz ataki Golden Ticket i Silver Ticket zapewniające trwały i trudny do wykrycia dostęp do domeny.

Ostatnia faza zależy od motywacji grupy APT: szpiegostwo (wykradanie tajnych dokumentów, własności intelektualnej lub komunikacji), sabotaż (destrukcyjne ataki w stylu Stuxnet), kradzież finansowa (manipulowanie transakcjami SWIFT) albo ustanowienie trwałego dostępu na potrzeby przyszłych operacji, bez natychmiastowego podejmowania głośnych działań.

Grupy APT eksfiltrują dane powoli, aby uniknąć wykrycia: dzielą duże zbiory danych na małe transfery rozłożone na wiele tygodni, używają zaszyfrowanych archiwów, kompresują dane przed przesłaniem, umieszczają je tymczasowo na przejętych systemach pośredniczących oraz eksfiltrują je za pośrednictwem legalnych usług chmurowych (OneDrive, Dropbox), aby upodobnić ruch do zwykłej aktywności.

Obrońcy mogą zakłócać działania grup APT na każdym etapie: filtrowanie poczty utrudnia dostarczenie, instalowanie poprawek utrudnia wykorzystanie podatności, EDR utrudnia instalację, segmentacja sieci ogranicza ruch boczny, stacje robocze do uprzywilejowanego dostępu chronią dane uwierzytelniające, a narzędzia zapobiegania utracie danych wykrywają eksfiltrację.

W modelu Cyber Kill Chain w której fazie napastnik ustanawia trwały dostęp na przejętym systemie?

Kampanie APT przebiegają według uporządkowanego cyklu życia: od rozpoznania OSINT przez uzbrojenie, dostarczenie, wykorzystanie podatności, ustanowienie C2, ruch boczny, eskalację uprawnień i eksfiltrację. Zrozumienie każdej fazy umożliwia obrońcom przerwanie Cyber Kill Chain, zanim przeciwnicy osiągną swoje cele.