¿Qué es un APT?

En ciberseguridad, existe una gran cantidad de amenazas maliciosas. Muchas de estas amenazas escriben malware, aunque hay muchas otras formas en que los ciberdelincuentes pueden ser maliciosos. Sin embargo, el nivel de habilidad entre ellos varía mucho. Muchos "hackers" son solo script kiddies , solo pueden ejecutar herramientas existentes y carecen de las habilidades para crear las suyas propias. Muchos piratas informáticos tienen las habilidades para crear su malware, aunque el calibre exacto varía enormemente. Sin embargo, hay un nivel más exclusivo, el APT.

APT significa Amenaza Persistente Avanzada. Son la crema de la cosecha para los piratas informáticos y, en general, son los mejores en el negocio. Los APT no solo tienen habilidades técnicas en el desarrollo de exploits; también emplean una variedad de otras habilidades, que incluyen sutileza, paciencia y seguridad operativa. En general, se supone que la mayoría, si no todas, las APT son actores del estado-nación o al menos están patrocinadas por el estado. Este supuesto se construye a partir del tiempo, esfuerzo y dedicación que muestran en el logro de su objetivo.

Huellas dactilares de un APT

Los objetivos precisos de una APT varían según el país, la APT y el ataque. La mayoría de los piratas informáticos están motivados por el beneficio personal y, por lo tanto, ingresan e intentan obtener la mayor cantidad de datos valiosos lo más rápido posible. Las APT realizan sabotajes, espionaje o ataques perjudiciales y, por lo general, tienen motivaciones políticas o, a veces, económicas.

Si bien la mayoría de los actores de amenazas suelen ser oportunistas, las APT tienden a ser silenciosas o incluso muy específicas. En lugar de simplemente desarrollar exploits para las vulnerabilidades que encuentren, identificarán un objetivo, descubrirán la mejor manera de infectarlos y luego investigarán y desarrollarán un exploit. Por lo general, estos exploits se configurarán con mucho cuidado para que sean lo más silenciosos y sutiles posible. Esto minimiza el riesgo de detección, lo que significa que el exploit se puede usar en otros objetivos elegidos antes de que se descubra y se solucione la vulnerabilidad subyacente.

El desarrollo de exploits es un negocio técnico y lento. Esto lo convierte en un negocio costoso, especialmente cuando se trata de sistemas muy complejos sin vulnerabilidades conocidas. Dado que los fondos del estado-nación están disponibles para las APT, normalmente pueden dedicar mucho más tiempo y esfuerzo a identificar estas vulnerabilidades sutiles pero graves y luego desarrollar exploits extremadamente complejos para ellas.

La atribución es difícil

Atribuir un ataque a cualquier grupo o estado-nación puede ser difícil. Al realizar inmersiones profundas en el malware real utilizado, los sistemas de soporte e incluso el seguimiento de objetivos, es posible vincular cepas individuales de malware a un APT con bastante confianza y vincular ese APT a un país.

Muchos de estos exploits altamente avanzados comparten fragmentos de código de otros exploits. Los ataques específicos pueden incluso hacer uso de las mismas vulnerabilidades de día cero. Estos permiten que los incidentes se vinculen y rastreen en lugar de ser un malware único y extraordinario.

El seguimiento de muchas acciones de una APT hace posible construir un mapa de sus objetivos elegidos. Esto, combinado con el conocimiento de las tensiones geopolíticas, al menos puede reducir la lista de posibles patrocinadores estatales. Un análisis más detallado del lenguaje utilizado en el malware puede dar pistas, aunque también se pueden falsificar para fomentar la atribución errónea.

La mayoría de los ataques cibernéticos de APT vienen con una negación plausible porque nadie los reconoce. Esto permite que cada nación responsable realice acciones con las que no necesariamente querría ser asociado o acusado. Debido a que la mayoría de los grupos APT se atribuyen con confianza a estados-nación específicos, y se supone que esos estados-nación tienen aún más información en la que basar esa atribución, es razonablemente probable que todos sepan quién es responsable de qué. Si una nación acusara oficialmente a otra de un ataque, probablemente estaría en el extremo receptor de una atribución de represalia. Al hacerse el tonto, todos pueden mantener su negación plausible.

Ejemplos

Muchos grupos diferentes nombran a las APT con otras cosas, lo que complica su seguimiento. Algunos nombres son simplemente designaciones numeradas. Algunos se basan en nombres de exploits vinculados que se basan en nombres estereotipados.

Hay al menos 17 APT atribuidos a China. Un número APT, como APT 1, se refiere a algunos. APT 1 también es específicamente PLA Unit 61398. Al menos dos APT chinos han recibido nombres con dragones: Double Dragon y Dragon Bridge. También hay Panda numerado y Apolo rojo.

Muchos APT atribuidos a Irán incluyen "gatito" en el nombre. Por ejemplo, Helix Kitten, Charming Kitten, Remix Kitten y Pioneer Kitten. El APT ruso a menudo presenta nombres de osos, incluidos Fancy Bear, Cozy Bear, Bezerk Bear, Venomous Bear y Primitive Bear. Corea del Norte se ha atribuido a tres APT: Ricochet Chollima, Lazarus Group y Kimsuky.

Israel, Vietnam, Uzbekistán, Turquía y Estados Unidos tienen al menos una APT atribuida. Una APT atribuida a EE. UU. se llama Equation Group, que se cree que es la unidad TAO o Tailored Access Operations de la NSA. El grupo recibe su nombre del nombre de algunos de sus exploits y su uso intensivo de encriptación.

El grupo de ecuaciones generalmente se considera el más avanzado de todos los APT. Se sabe que ha interceptado dispositivos y los ha modificado para incluir malware. También tenía varias piezas de malware que tenían la capacidad única de infectar el firmware de los discos duros de varios fabricantes, lo que permitía que el malware persistiera a través de borrados completos del disco, reinstalaciones del sistema operativo y cualquier otra cosa que no fuera la destrucción del disco. Este malware era imposible de detectar o eliminar y habría requerido acceso al código fuente del firmware de la unidad para desarrollarlo.

Conclusión

APT significa Amenaza Persistente Avanzada y es un término que se usa para referirse a grupos de piratería altamente avanzados, generalmente con supuestos vínculos entre estados y naciones. El nivel de habilidad, paciencia y dedicación que muestran los APT no tiene comparación en el mundo criminal. Combinado con los objetivos a menudo políticos, está bastante claro que estos no son los grupos promedio de piratería por dinero. En lugar de buscar violaciones de datos ruidosas, las APT tienden a ser sutiles y cubrir sus huellas tanto como sea posible.

Generalmente, el usuario promedio no necesita preocuparse por las APT. Solo dedican su tiempo a objetivos que son particularmente valiosos para ellos. La persona promedio no oculta secretos que un estado-nación considera valiosos. Solo las empresas más grandes, especialmente las que hacen trabajo gubernamental, y las personas particularmente influyentes, corren el riesgo de ser atacados de manera realista. Por supuesto, todos deben tomar en serio su seguridad, así como la seguridad de su empresa.

Sin embargo, la opinión general en el mundo de la seguridad es que si una APT decide que usted es interesante, podrá piratear sus dispositivos de alguna manera, incluso si tiene que gastar millones de dólares en investigación y desarrollo. Esto se puede ver en los pocos casos de malware diseñado cuidadosamente para saltar "brechas de aire", como el gusano Stuxnet .