Os novos métodos de invasão de sistemas são conhecidos como APT. A APT é um acrônimo em inglês para Advanced Persistent Threat, que sua tradução na língua portuguesa ficou conhecido como Ameaça Persistente Avançada, um método altamente eficaz pelo qual hackers sofisticados podem entrar em sistemas sem a possibilidade de serem capturados, permitindo a extração de dados sem limites por um longo período.
As Ameaças Persistentes Avançadas (APTs) representam um dos maiores desafios de segurança cibernética nos dias de hoje. Este artigo oferece uma visão aprofundada sobre o que são as APTs, como operam, seus objetivos, exemplos reais, características distintivas e estratégias de detecção. Compreender essas ameaças é fundamental para proteger organizações contra-ataques cibernéticos sofisticados.
Esse termo APT foi criado no ano de 2006 por analistas da Força Aérea dos Estados Unidos (USAF) para facilitar a discussão de atividades de intrusão com seus civis, desta maneira, as equipes militares poderiam discutir as características do ataque ainda sem revelar suas identidades classificadas.
Podemos ver vários objetivos potenciais olhando para a lista de alvos. [Bejtlich, 2010]
Muito provável, a APT fornece suporte:
Exemplos notórios incluem o ataque APT29 (Cozy Bear), que visou o Comitê Nacional Democrata em 2016, e o APT28 (Fancy Bear), que também tem laços com a Rússia e foi associado a várias campanhas de espionagem cibernética, entre tantos outros APT's que podemos observar no MITRE ATT&CK.
As características típicas incluem sigilo, persistência, personalização, evasão de detecção, uso de malware exclusivo, múltiplos vetores de ataque e monitoramento constante da vítima.
Atualmente as ameaças persistentes avançadas apresentam frequentemente certas características que refletem o elevado grau de condução e coordenação necessários para violar alvos. A maioria das APT's são realizadas em múltiplas fases, refletindo a mesma sequência básica de obtenção de acesso, manutenção e expansão do acesso e tentativa de permanecer indetectável na rede da vítima até que os objetivos do ataque sejam alcançados, sabendo disso, descreveremos a anatomia dos ataques desde estabelecer alvos passando pelas demais fases em reconhecimento, armamento, entrega, exploração, comando e controle, exfiltração.
(Engage Target)
Nesta fase, os atacantes selecionam os alvos que desejam comprometer. Nas APTs, a escolha dos alvos é cuidadosamente planejada e frequentemente envolve organizações de alto valor, como empresas de defesa, governo e grandes corporações. Os atacantes podem identificar vulnerabilidades específicas nos sistemas de suas vítimas e planejar ataques direcionados.
(Reconnaissance)
O reconhecimento é a etapa em que os atacantes coletam informações sobre os alvos selecionados. Isso pode incluir pesquisa sobre sistemas, redes, funcionários e outras informações que ajudam os atacantes a planejar ataques eficazes. A coleta de informações pode ser realizada por meio de fontes abertas, engenharia social e varreduras de rede.
(Weaponization)
Nesta fase, os atacantes preparam as ferramentas e recursos necessários para executar o ataque. Isso pode envolver o desenvolvimento ou aquisição de malware personalizado, exploits e outras ferramentas que serão usadas para comprometer os sistemas das vítimas.
(Delivery)
A entrega é o processo de entrega do malware ou dos exploits aos sistemas de destino. Isso pode ser feito por meio de e-mails de phishing, sites maliciosos, dispositivos USB infectados e outras técnicas de entrega.
(Exploitation)
Após a entrega, os atacantes exploram as vulnerabilidades identificadas nos sistemas das vítimas. Isso pode envolver a exploração de brechas de segurança, como vulnerabilidades de software ou fraquezas de configuração, para obter acesso aos sistemas-alvo.
(Command & Control (C2))
Nesta fase, os atacantes estabelecem um canal de comunicação com os sistemas comprometidos. Isso permite que eles controlem os sistemas remotamente, executem comandos, instalem mais malware e realizem outras atividades maliciosas sem serem detectados.
(Exfiltration)
Após obter acesso aos sistemas das vítimas, os atacantes buscam exfiltrar dados sensíveis. Isso pode incluir informações confidenciais, propriedade intelectual, dados financeiros e muito mais. A exfiltração de dados é uma etapa crítica para atingir os objetivos da APT.
No contexto de uma APT, essas fases podem se estender ao longo de meses ou anos, com os atacantes trabalhando silenciosamente para evitar detecção e manter o acesso aos sistemas comprometidos. Detectar e responder a uma APT é um desafio significativo, e a prevenção proativa e a segurança cibernética robusta são essenciais para mitigar essas ameaças avançadas.
Algumas instituições e frameworks tem como objetivo mapear riscos e ameaças das mais diversas categorias, para exemplificar a complexidade de atuação de uma ameaça persistente avançada, usaremos o MITRE ATT&CK Framework, onde apresentaremos a atuação das APT's 28 e 29 mencionadas anteriormente.
MITRE ATT&CK ® é uma base de conhecimento acessível que ajuda na modelagem global de táticas e técnicas adversárias cibernéticas baseadas em observações do mundo real.
O MITRE descreve diversos tipos de ameaças em 14 Táticas, 201 Técnicas e 424 Subtécnicas onde representam os porquês de uma técnica ou subtécnica seja de possível interesse de uma APT em todo o seu ciclo de ataque.
Sobre as APT's 28 e 29 apresentamos em quantidades de TTP's a complexidade de um ataque investido contra as corporações, os detalhes mais profundos de cada técnica e subtécnica utilizada pelo APT correspondente e mencionado anteriormente, podem ser visualizados diretamente no mapa do MITRE ou nas referências ao final deste artigo.
A detecção de APT's é um desafio, mas é possível por meio de monitoramento contínuo, análise de tráfego de rede, comportamento anômalo de sistemas e autenticação multifatorial. A colaboração com fornecedores de segurança cibernética e a implementação de políticas de segurança rigorosas também são cruciais.
Para detectar APT's, as organizações podem recorrer a ferramentas de segurança avançadas, como sistemas de detecção de intrusões, firewalls de próxima geração, antivírus avançados, XDR (Extend Detection and Response), SIEM (Security Information and Event Management)análise de comportamento de endpoint (EDR), análise de tráfego de rede e soluções de segurança baseadas em inteligência artificial.
Ameaças persistentes avançadas apresentam certos sinais que merecem atenção pela organização que deseja iniciar uma possível detecção no ambiente, apesar de muitos fatores levarem à uma enorme dificuldade de detectação.
Ao trilhar um caminho estratégico e lógico, as organizações concentram seus esforços em qualquer meio de prevenção, onde uma APT, poderá ser confundida facilmente com o tráfego normal de rede, desta maneira, sugerimos alguns pontos de atenção como:
Observando cuidadosamente os pontos de atenção mencionados anteriormente, temos outras soluções que podem ser utilizadas nas organizações para simulações de violações e ataques adversários, contudo essas soluções possuem um custo elevado, e será necessário outro artigo para exemplificar suas qualidades, prós e contras no contexto de APT's.
Conforme descrito no decorrer deste artigo onde buscamos fornecer uma visão abrangente das APT's (Advanced Persistent Threats) - Ameaças Persistentes Avançadas, apresentando o desafio constante das organizações destacando a importância da conscientização e preparação para enfrentar essas ameaças cada vez mais sofisticadas no cenário cibernético atual, com isso, nós da Inteligência Brasil estamos sempre dispostos à auxiliar sua organização nos desafios de segurança da informação ou cibernética necessários para continuidade de negócios e atividades contínuas.
Como montar uma estratégia em Segurança da Informação, Cyber Security MITRE ATT&CK, MITRE ATT&CK APT28, MITRE ATT&CK APT29, CSA - Russian GRU 85th GTsSS Deploys Previously Undisclosed Drovorub Malware, A Practical Study on Advanced Persistent Threats, A systematic literature review for APT detection and Effective Cyber Situational Awareness (ECSA) conceptual model, APT29 - Cozy Bear, NYT Cozy Bear, APT28 - Fancy Bear, NBC NEWS Cozy Bear Explained, MITRE ATT&CK - APT Groups, CSRC NIST, The Practice of Network Security Monitoring, SANS - Beth E. Binde, Russ McRee, Terrence J. O’Connor.
Copyright © 2024 Inteligência Brasil