Жизненный цикл APT: от первоначального доступа до вывода данных

Продвинутая постоянная угроза (APT) — это термин для обозначения сложных группировок, связанных с государствами или хорошо финансируемых, которые проводят длительные целевые кампании. В отличие от случайных злоумышленников, APT вкладывают значительные ресурсы в конкретные высокоценные цели: оборонные подрядчики, финансовые учреждения и государственные органы.

«Цепочка кибератаки» Lockheed Martin описывает операции APT в семи фазах: разведка, подготовка оружия, доставка, эксплуатация, установка, командное управление (C2) и действия по достижению целей. Защитники могут сорвать кампанию, разорвав любое звено цепи.

Операторы APT проводят обширную пассивную разведку OSINT: изучают профили сотрудников в LinkedIn (выявляя IT-администраторов), публикации о вакансиях (раскрывающие набор технологий), репозитории GitHub (из которых могут утекать внутренние исходные коды), выполняют поиск в Shodan (находя открытые сервисы) и анализируют журналы прозрачности сертификатов (обнаруживая поддомены).

После разведки операторы APT создают специально подготовленные вредоносные документы: макросы Excel, использующие недавно раскрытую CVE, файлы PDF с JavaScript или троянизированные обновления программного обеспечения. Доставка обычно осуществляется с помощью адресной фишинговой рассылки выявленным высокоприоритетным целям или посредством стратегической компрометации веб-сайтов («водопоев»).

Для эксплуатации используются уязвимости нулевого дня или известные уязвимости CVE в системах без установленных исправлений. Установка обеспечивает закрепление: запланированные задачи, ключи автозапуска в реестре, установка служб, подписки WMI или импланты загрузочного набора. APT предпочитают лёгкие импланты первой стадии, которые загружают полный набор инструментов после компрометации.

APT маскируют C2 под обычный трафик: используют HTTPS для подключения к провайдерам CDN, туннелирование DNS, маскирование домена и C2 через социальные сети (публикуя сообщения в Twitter или GitHub). Длинные интервалы между маяками (часы или дни) помогают избежать обнаружения по шаблонам. Зашифрованные соединения с закреплением сертификата обходят проверку SSL.

APT перемещаются по сети, используя скомпрометированные учётные данные, передачу хэша, керберостинг и штатные системные инструменты. Они составляют карту сети, выявляют высокоценные цели (контроллеры домена, файловые серверы, хранилища данных) и создают несколько точек закрепления для обеспечения резервирования.

APT повышают привилегии от пользователя до администратора и администратора домена. Методы включают локальное повышение привилегий (эксплойты ядра, неправильные настройки служб), керберостинг учётных записей служб, DCSync для извлечения NTDS.dit и атаки с золотыми или серебряными билетами для получения постоянного, трудно обнаруживаемого доступа к домену.

Финальная фаза зависит от мотивации APT: шпионаж (вывод секретных документов, IP или переписки), саботаж (разрушительные атаки по типу Stuxnet), финансовые хищения (манипуляции с транзакциями SWIFT) или установление постоянного доступа для будущих операций без немедленных заметных действий.

APT выводят данные медленно, чтобы избежать обнаружения: разбивают большие наборы данных на небольшие передачи в течение нескольких недель, используют зашифрованные архивы, сжимают данные перед передачей, размещают их на скомпрометированных промежуточных системах и выводят через легитимные облачные сервисы (OneDrive, Dropbox), маскируясь под обычный трафик.

Защитники могут сорвать действия APT на каждой фазе: фильтрация электронной почты срывает доставку, установка исправлений — эксплуатацию, EDR — установку, сегментация сети ограничивает горизонтальное перемещение, рабочие станции для привилегированного доступа защищают учётные данные, а инструменты предотвращения утечек данных обнаруживают их вывод.

Кампании APT проходят структурированный жизненный цикл: от разведки OSINT через подготовку оружия, доставку, эксплуатацию, установление C2, горизонтальное перемещение, повышение привилегий и вывод данных. Понимание каждой фазы позволяет защитникам разорвать цепочку кибератаки до того, как противники достигнут своих целей.