O que é um APT?

Na segurança cibernética, há um grande número de ameaças maliciosas. Muitas dessas ameaças criam malware, embora existam muitas outras maneiras de os cibercriminosos serem mal-intencionados. O nível de habilidade entre eles varia muito, no entanto. Muitos “hackers” são apenas script kiddies , capazes apenas de executar ferramentas existentes e não possuem as habilidades necessárias para fazer as suas próprias. Muitos hackers têm as habilidades para criar seu malware, embora o calibre exato varie muito. Há mais um nível exclusivo, porém, o APT.

APT significa Ameaça Persistente Avançada. Eles são a nata da cultura para hackers e geralmente são os melhores no ramo. Os APTs não são apenas tecnicamente qualificados no desenvolvimento de exploits; eles também empregam uma série de outras habilidades, incluindo sutileza, paciência e segurança operacional. Geralmente, assume-se que a maioria, se não todos, os APTs são atores do estado-nação ou pelo menos patrocinados pelo estado. Essa suposição é construída a partir do tempo, esforço e dedicação que eles demonstram para atingir seu objetivo.

Impressões digitais de um APT

Os objetivos precisos de um APT variam de acordo com o país, APT e ataque. A maioria dos hackers é motivada pelo ganho pessoal e, portanto, invade e tenta obter o máximo de dados valiosos o mais rápido possível. Os APTs executam sabotagem, espionagem ou ataques perturbadores e geralmente são motivados politicamente ou às vezes economicamente.

Embora a maioria dos agentes de ameaças seja tipicamente oportunista, os APTs tendem a ser silenciosos ou até mesmo muito direcionados. Em vez de apenas desenvolver explorações para as vulnerabilidades que encontram, eles identificam um alvo, descobrem a melhor forma de infectá-lo e, em seguida, pesquisam e desenvolvem uma exploração. Normalmente, essas explorações serão configuradas com muito cuidado para serem o mais silenciosas e sutis possível. Isso minimiza o risco de detecção, o que significa que a exploração pode ser usada em outros alvos escolhidos antes de ser descoberta e a vulnerabilidade subjacente corrigida.

O desenvolvimento de exploits é um negócio técnico e demorado. Isso o torna um negócio caro, especialmente ao lidar com sistemas altamente complexos sem vulnerabilidades conhecidas. Como os fundos do estado-nação estão disponíveis para os APTs, eles geralmente podem gastar muito mais tempo e esforço identificando essas vulnerabilidades sutis, mas graves, e desenvolvendo explorações extremamente complexas para elas.

A atribuição é difícil

Atribuir um ataque a qualquer grupo ou estado-nação pode ser difícil. Ao realizar mergulhos profundos no malware real usado, nos sistemas de suporte e até mesmo no rastreamento de alvos, pode ser possível vincular cepas individuais de malware a um APT com bastante confiança e vincular esse APT a um país.

Muitas dessas explorações altamente avançadas compartilham bits de código de outras explorações. Ataques específicos podem até fazer uso das mesmas vulnerabilidades de dia zero. Isso permite que os incidentes sejam vinculados e rastreados, em vez de um malware extraordinário e único.

Rastrear muitas ações de um APT torna possível construir um mapa de seus alvos escolhidos. Isso, combinado com o conhecimento das tensões geopolíticas, pode pelo menos restringir a lista de potenciais patrocinadores estatais. Uma análise mais aprofundada da linguagem usada no malware pode fornecer dicas, embora também possam ser falsificadas para encorajar a atribuição incorreta.

A maioria dos ataques cibernéticos de APTs vem com negação plausível porque ninguém os assume. Isso permite que cada nação responsável execute ações com as quais não necessariamente gostaria de ser associada ou acusada. Como a maioria dos grupos APT são atribuídos com segurança a estados-nação específicos, e presume-se que esses estados-nação tenham ainda mais informações para basear essa atribuição, é razoavelmente provável que todos saibam quem é responsável por quê. Se qualquer nação acusasse oficialmente outra de um ataque, provavelmente receberia uma atribuição de retaliação. Ao se fazer de bobo, todos conseguem manter sua negação plausível.

Exemplos

Muitos grupos diferentes nomeiam os APTs de outras coisas, o que complica o rastreamento deles. Alguns nomes são apenas designações numeradas. Alguns são baseados em nomes de exploração vinculados e em nomes estereotipados.

Existem pelo menos 17 APTs atribuídos à China. Um número APT, como APT 1, refere-se a alguns. APT 1 também é especificamente PLA Unit 61398. Pelo menos dois APTs chineses receberam nomes com dragões: Double Dragon e Dragon Bridge. Há também o Numbered Panda e o Red Apollo.

Muitos APTs atribuídos ao Irã apresentam “gatinho” no nome. Por exemplo, Helix Kitten, Charming Kitten, Remix Kitten e Pioneer Kitten. O APT russo geralmente apresenta nomes de urso, incluindo Fancy Bear, Cozy Bear, Bezerk Bear, Venomous Bear e Primitive Bear. A Coreia do Norte foi atribuída a três APTs: Ricochet Chollima, Lazarus Group e Kimsuky.

Israel, Vietnã, Uzbequistão, Turquia e Estados Unidos têm pelo menos um APT atribuído. Um APT atribuído pelos EUA é chamado de Equation Group, que se acredita ser o TAO da NSA ou unidade de operações de acesso personalizado. O grupo recebe esse nome devido ao nome de algumas de suas façanhas e ao uso intenso de criptografia.

O grupo de equações é geralmente considerado o mais avançado de todos os APTs. Sabe-se que interditou dispositivos e os modificou para incluir malware. Ele também tinha vários malwares que eram capazes de infectar exclusivamente o firmware de discos rígidos de vários fabricantes, permitindo que o malware persistisse em apagamentos completos da unidade, reinstalações do sistema operacional e qualquer coisa que não fosse a destruição da unidade. Esse malware era impossível de detectar ou remover e teria exigido acesso ao código-fonte do firmware da unidade para ser desenvolvido.

Conclusão

APT significa Ameaça Persistente Avançada e é um termo usado para se referir a grupos de hackers altamente avançados, geralmente com supostos links de estado-nação. O nível de habilidade, paciência e dedicação demonstrado pelos APTs é inigualável no mundo do crime. Combinado com os alvos frequentemente políticos, fica bem claro que esses não são grupos comuns de hackers por dinheiro. Em vez de optar por violações de dados barulhentas, os APTs tendem a ser sutis e encobrir seus rastros o máximo possível.

Geralmente, o usuário médio não precisa se preocupar com APTs. Eles só gastam seu tempo em alvos que são particularmente valiosos para eles. A pessoa média não esconde segredos que um estado-nação considera valiosos. Apenas as empresas maiores, especialmente aquelas que fazem trabalho para o governo, e pessoas particularmente influentes correm o risco de serem alvos. Claro, todos devem levar a sério sua segurança, bem como a segurança de sua empresa.

A visão geral no mundo da segurança, no entanto, é que se um APT decidir que você é interessante, ele poderá invadir seus dispositivos de alguma forma, mesmo que tenha que gastar milhões de dólares em P&D. Isso pode ser visto nas poucas instâncias de malware sendo cuidadosamente projetado para pular “lacunas de ar”, como o worm Stuxnet .