APT-livscykeln: från initial åtkomst till beständighet

Efter att ha fått initial åtkomst måste angriparen köra sin första nyttolast på målsystemet. APT-grupper föredrar tekniker som smälter in i normal systemaktivitet: skadliga makron i Office-dokument som körs när offret aktiverar innehållet; HTML Application-filer (HTA) som kör skript när de öppnas; Living-off-the-Land Binaries (LOLBins) – användning av legitima Windows-verktyg som mshta.exe, certutil.exe, regsvr32.exe eller wscript.exe för att köra angriparkod och kringgå listor över tillåtna applikationer. Dessa tekniker gör det svårt att skilja den första nyttolasten från legitim systemaktivitet.

När den första nyttolasten har körts upprättar den en Command and Control-kanal (C2) tillbaka till angriparens infrastruktur. Moderna APT-aktörer använder C2-tekniker som är utformade för att undgå upptäckt: HTTPS till lookalike-domäner som efterliknar legitima molntjänster (Teams, OneDrive, GitHub); DNS-tunnling – kommandon kodas i DNS-frågor efter TXT-poster som ser ut som normal DNS-trafik; Domain Generation Algorithms (DGA) som varje dag skapar en ny C2-domän utifrån ett startvärde, vilket gör blockering av domäner ineffektiv; samt C2 enligt principen living-off-the-land, där legitima molnplattformar (Slack API, Google Sheets, Twitter) används som kommunikationskanal.

Efter att C2 har etablerats genomför APT-aktörer intern rekognosering för att förstå miljön innan de går vidare. Detta omfattar: uppräkning av Active Directory med verktyg som BloodHound för att kartlägga förtroenderelationer och identifiera värdefulla mål; nätverksskanning för att identifiera aktiva värdar, tjänster och öppna portar; identifiering av autentiseringsuppgifter genom att söka i filsystem efter konfigurationsfiler, lösenordsdatabaser eller autentiseringsuppgifter som lagras i webbläsare; samt identitetsuppräkning för att identifiera privilegierade konton, tjänstekonton och administratörers arbetsstationer. Merparten av kartläggningen använder inbyggda Windows-verktyg (net user /domain, ipconfig, nltest) för att undvika upptäckt.

APT-grupper får vanligtvis initial åtkomst med begränsade användarautentiseringsuppgifter och måste eskalera privilegier för att uppnå sina mål. Vanliga vägar för eskalering är: stöld av autentiseringsuppgifter från minnet med Mimikatz (extrahering av NTLM-hashar från LSASS-processens minne); Kerberoasting (begäran av tjänstebiljetter för tjänstekonton och knäckning av dem offline); utnyttjande av felkonfigurerade tjänster med svaga behörigheter (osäkra sökvägar till tjänstbinärer, DLL-kapning); samt tokenimpersonering för att stjäla autentiseringstokenen från en privilegierad process. Tekniker för att kringgå User Account Control (UAC) gör det möjligt att gå från standardadministratör till SYSTEM utan att en UAC-prompt visas.

APT-grupper investerar mycket i mekanismer för beständighet som överlever omstarter och ominstallationer, eftersom den initiala åtkomsten kan ha varit svår och kostsam att uppnå. Vanliga Windows-tekniker för beständighet är: Registry Run Keys (HKLM\Software\Microsoft\Windows\CurrentVersion\Run); Scheduled Tasks som kör skadlig kod enligt ett schema; Windows Services som startas automatiskt; WMI Event Subscriptions (svåra att upptäcka och överlever de flesta rensningsförsök); DLL Search Order Hijacking; samt Boot/Pre-OS-implantat (UEFI-implantat som överlever ominstallationer av operativsystemet och har använts av Equation Group och aktörer med koppling till NSA).

APT-aktörer använder omfattande försvarsevasion för att undvika upptäckt av säkerhetsverktyg för slutpunkter och analytiker. Teknikerna omfattar: processinjektering — skadlig kod injiceras i legitima processer som explorer.exe eller svchost.exe, så att skadlig programvara körs under ett betrott processnamn; timestomping — filers tidsstämplar ändras så att skadliga filer ser ut att ha funnits i flera år; radering och manipulering av loggar — Windows-händelseloggar rensas för att ta bort bevis; missbruk av kodsigneringscertifikat — skadlig programvara signeras med stulna legitima certifikat; samt körning i minnet (fillös skadlig programvara), som aldrig skrivs till disken där filbaserade antivirusprogram skulle upptäcka den.

APT-aktörer hanterar dataexfiltrering noggrant för att undvika att utlösa DLP-kontroller och upptäckt av avvikelser i bandbreddsanvändningen. Teknikerna omfattar: datainsamling inför exfiltrering — riktad data samlas i ett krypterat arkiv innan den exfiltreras i små delar under flera dagar; HTTPS-exfiltrering till molnlagringstjänster (OneDrive, Dropbox) som tillåts av företagets brandväggsregler; steganografi — data göms i bildfiler; samt tidsbaserad exfiltrering under arbetstid för att smälta in i legitim trafik. APT-aktörer exfiltrerar endast det de behöver (värdefull immateriell egendom, inloggningsuppgifter och strategiska planer) i stället för att kopiera allt i stora mängder — vilket minimerar deras avtryck och sannolikheten för upptäckt.

APT-upptäckt kräver att man ser bortom enskilda aviseringar för att identifiera mönster av relaterad aktivitet genom hela attackkedjan. Viktiga indikatorer omfattar: ovanliga relationer mellan överordnade och underordnade processer (t.ex. Word som startar PowerShell); kodade PowerShell-kommandon eller nedladdningar från internet; schemalagda aktiviteter eller tjänster som skapas vid ovanliga tidpunkter; åtkomst till LSASS-minnet från processer som inte är systemprocesser; lateral förflyttning via SMB eller WMI från arbetsstationer; samt ovanliga utgående DNS-frågor med långa underdomännamn. MITRE ATT&CK Navigator gör det möjligt för försvarare att koppla upptäckta tekniker till ATT&CK-matrisen och identifiera luckor i sin täckning av detektering.

Hantering av en pågående APT kräver en noggrann avvägning: begränsa hotet utan att varna angriparen. För tidiga begränsningsåtgärder (blockering av C2-trafik, inaktivering av konton) kan få APT-aktören att aktivera destruktiva nyttolaster eller påskynda exfiltreringen. Bästa praxis omfattar: diskret övervakning medan underrättelser samlas in; gradvis segmentering av infekterade värdar med brandväggsregler utan att blockera C2; införande av deception-teknik (honeytokens, canary-konton) för att övervaka angriparens aktivitet; samt samordning med brottsbekämpande myndigheter före större begränsningsåtgärder. En fullständig sanering kräver att alla mekanismer för beständighet och komprometterade konton identifieras — en enda missad implantat innebär att angriparen återkommer.

I den här lektionen har ni lärt er att: APT:er är avancerade, långvariga och målinriktade kampanjer som vanligtvis pågår i flera månader och använder riktat nätfiske, leveranskedjeattacker eller utnyttjande av sårbarheter för att få initial åtkomst, att APT:er använder LOLBins och legitima molntjänster för C2 för att smälta in i normal trafik och undvika upptäckt, samt att mekanismer för beständighet sträcker sig från Registry Run Keys till UEFI-firmwareimplantat — där WMI-prenumerationer är särskilt svåra att upptäcka och åtgärda. Härnäst utforskar vi tekniker för lateral förflyttning, bland annat Pass-the-Hash och Pass-the-Ticket.