APT Yaşam Döngüsü: İlk Erişimden Veri Sızdırmaya

Gelişmiş Sürekli Tehdit (APT), uzun süreli ve hedefli kampanyalar yürüten, devlet destekli veya iyi finanse edilen, gelişmiş saldırganları ifade eder. Fırsatçı saldırganların aksine APT grupları; savunma yüklenicileri, finans kuruluşları ve devlet kurumları gibi yüksek değerli belirli hedeflere önemli kaynaklar ayırır.

Lockheed Martin'in Siber Saldırı Zinciri, APT operasyonlarını yedi aşamada açıklar: Keşif, Silahlandırma, İletim, İstismar, Kurulum, Komuta ve Kontrol (C2) ve Hedeflere Yönelik Eylemler. Savunmacılar, zincirdeki herhangi bir halkayı kopararak kampanyayı sekteye uğratabilir.

APT aktörleri kapsamlı pasif OSINT çalışmaları yürütür: LinkedIn çalışan profilleri (IT yöneticilerini belirlemek için), iş ilanları (teknoloji yığınını ortaya çıkarmak için), GitHub depoları (kurum içi kod sızıntılarını tespit etmek için), açık hizmet aramaları (internete açık hizmetleri bulmak için) ve sertifika şeffaflığı kayıtları (alt alan adlarını keşfetmek için).

APT grupları keşiften sonra hedefe özel, kötü amaçlı hale getirilmiş belgeler hazırlar: yakın zamanda açıklanan bir CVE'den yararlanan elektronik tablo makroları, JavaScript içeren PDF dosyaları veya kötü amaçlı yazılım eklenmiş yazılım güncellemeleri. İletim genellikle belirlenen yüksek değerli hedeflere yönelik hedefli kimlik avı ya da stratejik web ele geçirmeleri (su kuyusu saldırıları) yoluyla gerçekleştirilir.

İstismar, güncellenmemiş sistemlere karşı sıfır gün açıklarını veya bilinen CVE'leri kullanır. Kurulum kalıcılık sağlar: zamanlanmış görevler, kayıt defteri Çalıştır anahtarları, hizmet kurulumları, WMI abonelikleri veya önyükleme kiti yerleşimleri kullanılabilir. APT grupları, tam araç setini sistem ele geçirildikten sonra indiren hafif ilk aşama yerleşimlerini tercih eder.

APT komuta ve kontrol trafiğini normal trafiğe benzetir: CDN sağlayıcılarına güvenli web bağlantıları, DNS tünelleme, alan adı maskeleme ve sosyal medya tabanlı komuta ve kontrol. Saatler veya günler süren uzun sinyal aralıkları örüntüyle tespit edilmekten kaçınır. Sertifika sabitleme kullanan şifreli iletişim, SSL incelemesini etkisiz kılar.

APT grupları, ele geçirilmiş kimlik bilgilerini, parola özeti geçişini, hizmet hesaplarının kötüye kullanımını ve sistemde mevcut araçları kullanarak ağ içinde yanal hareket eder. Ağı haritalandırır, yüksek değerli hedefleri (etki alanı denetleyicileri, dosya sunucuları, veri depoları) belirler ve yedeklilik sağlamak için birden çok kalıcılık noktası oluştururlar.

APT grupları kullanıcı hesabından yönetici hesabına, ardından etki alanı yöneticisi hesabına yükselir. Teknikler arasında yerel ayrıcalık yükseltme (çekirdek açıklarından yararlanma, hizmetlerin yanlış yapılandırılması), hizmet hesaplarının kimlik bilgilerinin ele geçirilmesi, NTDS.dit dökümünü almak için etki alanı eşitleme saldırıları ve kalıcı, tespit edilmesi zor etki alanı erişimi sağlamak için Altın ve Gümüş Bilet saldırıları bulunur.

Son aşama APT grubunun amacına göre değişir: casusluk (gizli belgeleri, IP'yi veya iletişimleri dışarı aktarma), sabotaj (Stuxnet tarzı yıkıcı saldırılar), finansal hırsızlık (SWIFT işlemlerini manipüle etme) ya da hemen fark edilecek gürültülü bir eylem gerçekleştirmeden gelecekteki operasyonlar için kalıcı erişim oluşturma.

APT grupları tespit edilmekten kaçınmak için verileri yavaşça dışarı çıkarır: büyük veri kümelerini haftalar boyunca küçük aktarımlara bölmek, şifreli arşivler kullanmak, aktarım öncesinde verileri sıkıştırmak, verileri ele geçirilmiş ara sistemlerde hazırlamak ve normal trafiğe benzemek için meşru bulut hizmetleri (OneDrive, Dropbox) üzerinden dışarı aktarmak.

Savunmacılar APT gruplarını her aşamada sekteye uğratabilir: e-posta filtreleme iletimi, yama uygulama istismarı, EDR kurulumu engeller; ağ bölümlendirmesi yanal hareketi sınırlar; ayrıcalıklı erişim iş istasyonları kimlik bilgilerini korur ve veri kaybı önleme araçları dışarı veri çıkarılmasını tespit eder.

Siber Saldırı Zinciri'nde saldırgan, ele geçirilmiş bir sistemde hangi aşamada kalıcılık sağlar?

APT kampanyaları OSINT keşfinden silahlandırma, iletim, istismar, komuta ve kontrolün kurulması, yanal hareket, ayrıcalık yükseltme ve veri dışarı çıkarmaya uzanan yapılandırılmış bir yaşam döngüsünü izler. Her aşamayı anlamak, karşıtlar hedeflerine ulaşmadan önce savunmacıların saldırı zincirini kırmasını sağlar.