Taktiky, techniky a postupy APT35: ako fungujú a ako chrániť Windows

V dnešnom svete hrozieb je len málo protivníkov takých vytrvalých a nenápadných ako APT35. Tento herec, známy aj ako Helix Kitten alebo Charming KittenSpoločnosť [Názov spoločnosti] si vybudovala reputáciu vďaka dobre preskúmaným cieleným phishingovým kampaniam, krádeži identity a dlhodobému pretrvávaniu v podnikových prostrediach. Ak pracujete so systémom Windows v organizácii, pochopenie jeho taktík, techník a postupov (TTP) je kľúčom k [operačnej bezpečnosti]. zmenšiť útočnú plochu a reagovať včas.

Hoci sú často vnímané ako útoky „ako z filmu“, pokročilé pretrvávajúce hrozby nie sú sci-fi. Sú to metodické, viacúrovňové a trpezlivé operácieTieto útoky sú navrhnuté tak, aby sa infiltrovali, zostali neodhalené a v príslušnom okamihu odcudzili cenné údaje. APT35 spĺňa tento profil: vierohodné phishingové kampane, maskovaná infraštruktúra velenia a riadenia a silná schopnosť prispôsobiť svoje metódy, keď obeť posilňuje svoju obranu.

Čo je to APT a prečo je APT35 obzvlášť dôležitý pre Windows?

Pokročilá pretrvávajúca hrozba je dlhotrvajúci útok, pri ktorom protivník získa neoprávnený prístup a udrží ho v tajnosti kradnúť informácie, monitorovať operácie alebo spôsobovať narušenia, keď sa im to hodí. Na rozdiel od „hromadného“ malvéru, APT útoky nefungujú hromadne; zameriavajú sa na konkrétne ciele a pred útokmi sa učia o svojom prostredí.

V systéme Windows APT35 často otvára dvere pomocou sociálneho inžinierstva: Precízne spracované phishingové e-mailyklonované stránky s povereniamiFalošné pozvánky na konferencie alebo akademické podujatia a podvody, ktoré obeť oklamú a prinútia ju spustiť kód alebo odovzdať tokeny. Po vstupe do systému sa pozornosť zameriava na vytrvalosť: zadné vrátka, zneužitie poverení a nenápadný laterálny pohyb.

Kto stojí za APT a ako do toho zapadá APT35?

APT zvyčajne podporujú dobre organizovaní aktéri. Môžeme rozlíšiť tri hlavné blokyŠtátom sponzorované skupiny, organizovaný zločin a hackerské kolektívy. APT35, ktorá je podľa viacerých analytikov prepojená s iránskymi záujmami, sa zameriava na sektory ako letecký a kozmický priemysel, telekomunikácie, financie, energetika, chemický priemysel a pohostinstvo s ekonomickými, vojenskými a politickými cieľmi.

Medzi štátnymi skupinami vynikajú niektoré známe prípady: Lazar (Severná Kórea), zapojený do finančných krádeží a operácií, ako bol incident so spoločnosťou Sony; APT28/Fancy Bear a APT29/Cozy Bear (Rusko)s kampaňami proti vládnym, diplomatickým a volebným cieľom; a APT40, spojená s kybernetickou špionážou zameranou na univerzity a obranu. Tieto operácie ilustrujú rozsah plánovania APT.

V organizovanom zločine je finančný zisk na prvom mieste. Carbanak/FIN7 zaútočil na bankovníctvo a maloobchod; Temná strana Preslávil sa vďaka incidentu s ropovodom Colonial Pipeline. Hacktivisti na druhej strane fungujú z ideologických alebo politických dôvodov: Anonymný o la Sýrska elektronická armáda Toto sú príklady protestných akcií a propagandy so skutočným dopadom.

Títo protivníci, vrátane tých, ktorí sú prepojení so štátmi, Hľadajú zisk alebo strategickú výhodu prostredníctvom krádeže duševného vlastníctva, vydierania (ransomvéru) alebo prístupu ku kritickým systémom.

Ako fungujú: kľúčové taktiky, techniky a postupy

Typický APT kombinuje niekoľko vrstiev: intrúzia, lezenie a laterálny pohyb a exfiltráciaPočas útoku APT35 využíva psychológiu používateľa na vynútenie prvého kliknutia a ak je to možné, infiltruje systémy pomocou exploitov alebo neopraveného softvéru. V systéme Windows je bežné vidieť škodlivé makrá v dokumentoch, odkazy na falošné prihlasovacie stránky a používanie systémových nástrojov, aby zostal nepozorovaný.

Po vstupe do systému útočník nadviaže komunikáciu so svojou infraštruktúrou velenia a riadenia (C2). Táto komunikácia môže byť maskovaná ako legitímna prevádzka.Od jednoduchých HTTP(S) požiadaviek až po kreatívnejšie kanály podporované verejnými službami (existujú TTP, ktoré zneužívajú sociálne siete alebo cloudové dokumenty). So stabilnou komunikáciou sa začína objavovanie aktív a laterálny pohyb.

Obrancovia musia mať na pamäti, že moderný APT využiť verejné rámce a nástroje pre postup po vykorisťovaní (napríklad známe frameworky), ale aj komponenty vyrobené na mieru. Útočníci niekedy načítajú kód do pamäte, aby sa vyhli zanechaniu stopy na disku, a spoliehajú sa na techniky, ako je bočné načítanie DLL.

Pri exfiltrácii sa dáta odosielajú po kvapkách alebo dávkach, maskované šumom siete alebo zapuzdrené (komprimované súbory, bežné protokoly, skryté kanály). Ak obeť niečo zistí, APT môže generovať rozptýlenia, ako napríklad DDoS útok, aby zamaskovala skutočný únik.

Postupné fázy APT útoku

1. uznanieZhromažďujú e-mailové adresy, verejné profily, používané technológie (niekedy zverejnené v pracovných ponukách) a akékoľvek ďalšie užitočné podrobnosti. Pre advokáta je to tichá fáza.
2. PrenikanieSpear phishing zneužitie zraniteľnostiSlabé heslá alebo malvér vložený do dokumentov môžu predstavovať veľké riziko. V systéme Windows často stačí na spustenie kódu len otvorenie „nesprávnej“ prílohy.
3. Krádež identityHľadajú platné prihlasovacie údaje (súbory cookie, tokeny, heslá) a pristupujú k desiatkam systémov pomocou identity legitímnych používateľov. obchádzanie kontrol založených na podpisoch.
4. Inštalácia nástrojovZahŕňajú nástroje na skrytú správu, krádež hesla, monitorovanie a ďalšie. Malý implantát alebo skript Môže slúžiť ako odrazový mostík pre väčšie bremená.
5. Zadné vrátka a privilégiáVytvárajú zadné vrátka, skryté účty alebo upravujú konfigurácie. Ak získajú poverenia správcu domény, Držia kľúče od kráľovstva pohybovať sa bočne.
6. ExfiltráciaBalia e-maily, súbory a databázy na medziľahlé servery alebo do cloudového úložiska pomocou HTTP/FTP alebo iných kanálov. Môžu tiež zneužívať DNS tunely ak to prostredie dovolí.
7. VytrvalosťAj po čiastočnom odhalení sa snažia zostať. Táto tvrdohlavosť je charakteristickým znakom APT., s pobytmi v trvaní mesiacov.

Indikátory a znaky prebiehajúceho APT

Dopravné špičky alebo nezvyčajné toky z vnútorného zariadenia smerom von Toto sú varovné signály. Podobne prihlásenia mimo pracovnej doby alebo z nezvyčajných miest naznačujú kompromitované prihlasovacie údaje.

L opakujúce sa infekcie škodlivým softvérom Skutočnosť, že sa zadné vrátka po „vyčistení“ znova otvoria a znova objavia, naznačuje ich pretrvávajúcu aktivitu. Okrem toho, ak sa objavia veľké alebo komprimované súbory vo formátoch, ktoré spoločnosť používa len zriedka, je potrebné vykonať vyšetrovanie.

Nezvyčajné e-maily prijaté manažérmi alebo citlivými pracovníkmi, typické pre spear phishing, Zvyčajne sú prvým krokom v reťazci APT.Ďalšia indícia: anomálna aktivita v databázach s operáciami s veľkým objemom.

Niektorí poskytovatelia zaznamenávajú, kde sa e-mail otvára alebo z ktorej IP adresy; pozorovanie nezvyčajného prístupu alebo zachytenia korešpondencie môže niečo naznačovať. votrelci kontrolujú komunikáciuNa úrovni koncových bodov útočník skúma medzery v politikách a dodržiavaní predpisov, aby využil slabé miesta.

Typy APT podľa cieľa a ilustratívne príklady

• Sabotáž alebo narušenieVysoko zložité operácie, ktoré manipulujú s priemyselnými procesmi bez toho, aby upozornili obeť. Paradigmatický prípad: Stuxnet, čo ovplyvnilo iránske centrifúgy.
• Vydieraniekampane zamerané na finančný zisk, ako napríklad ransomvér. Ryuk Vynikal cielenými útokmi, ktoré šifrujú kritické aktíva a požadujú vysoké výkupné.
• Infiltrácia a exfiltráciaCieľom je zachovať a priebežne získavať údaje. Kampane boli pripísané APT32 y APT37 pre ekonomickú a politickú špionáž.
• Zásobovací reťazecDodávatelia sú odhodlaní osloviť svojich zákazníkov. Príkladom médií bol SolarWinds (na fórach pripisované APT29) a Nie Petya Šíril sa prostredníctvom kompromitovanej aktualizácie a spôsobil globálne škody.

Prípady zo skutočného života, ktoré nás učia

Útok na Cieľ pomocou RAM Scraperu Využil slabinu dodávateľa na získanie prístupu do jeho ekosystému. Herec sa niekoľko týždňov infiltroval do pokladničných terminálov, kradol údaje o kreditných kartách a... odčerpávanie obrovských objemov naraz.

Výskumníci zistili kampane podskupiny Lazar ktorý upravil známy malvér DTrack a použil ransomvér Maui. Načítania z pamäte boli vykonané v systéme WindowsDTrack zhromažďoval systémové údaje a históriu prehliadača a doba zotrvania bola mesiace.

LuckyMyuš nasadil trójsky kôň variant messagingovej služby Mimi pre zadné vrátka proti macOS, Windows a Linuxu, zapojenie organizácií na Taiwane a FilipínachDemonštruje to multiplatformovú kompatibilitu typickú pre APT.

Skupina SEABORGIUM, prepojený s ruskými záujmami, vykonával roky špionáž v Európe, zneužívanie spear phishingu na získanie prístupu k OneDrive a LinkedInZneužívanie legitímnych cloudových služieb komplikuje odhaľovanie.

Najnovšie trendy v TTP: čo sa mení a čo nie

Počas nedávneho letného štvrťroka analytici zaznamenali jasné rozdiely medzi hráčmi: niektorí Svoju sadu nástrojov vyvinuli smerom k modulárnym rámcom veľmi vytrvalé, zatiaľ čo iné dosiahli ciele s dlhotrvajúcimi infekčnými reťazcami, čo dokazuje, že „jednoduché a overené“ stále funguje.

Jedným z najpozoruhodnejších zistení bola infekcia prostredníctvom Bootkit UEFI, súčasť fázovaného rámca známeho ako Mosaic Regressor, vďaka ktorému bol implantát extrémne odolný a ťažko odstrániteľný. UEFI je kľúčovýJeho infikovanie zabezpečí jeho trvalosť pod operačným systémom.

Boli tiež vidieť steganografické techniky s bočným načítaním: kampaň pripisovaná Ke3changovi používala verziu zadných vrátok Okrum, ktorá využívala podpísaný binárny súbor Windows Defender na skrytie hlavného užitočného zaťaženia, udržiavanie platného digitálneho podpisu na zníženie detekcie.

Iné skupiny, ako napr. Zablátená vodaMajú iterované viacfázové rámce, zatiaľ čo DTrack Zahrnul nové možnosti na vykonávanie viacerých typov užitočných zaťažení. Súbežne s tým DeathStalker Udržiava jednoduché, ale vysoko cielené reťazce navrhnuté tak, aby sa vyhli odhaleniu, čo dokazuje, že sofistikovanosť nie je vždy nevyhnutná pre úspech.

APT35 v centre pozornosti: charakteristické TTP a ciele

APT35 je známy pre Vysoko dôveryhodné spear phishingové e-maily a falošná dokumentácia ktorý napodobňuje akademické pozvánky alebo komunikáciu od organizácií. Je bežné vidieť falšovanie prihlásení, zneužívanie skrátených odkazov a stránky na zachytenie poverení s bezchybným vzhľadom.

V systéme Windows má táto skupina tendenciu spoliehať sa na natívne skripty a nástroje Aby ste zostali neodhalení, vytvorte si C2 a postupujte laterálne. Kombinácia sociálneho inžinierstva s oportunistickým zneužívaním neopraveného softvéru. vysvetľuje svoju vysokú úspešnosť bez primeraných behaviorálnych a segmentačných kontrol.

Ako chrániť Windows pred APT35 a inými APT útokmi

EDR a XDR. Moderné riešenia detekujú anomálne správanie v reálnom časePoskytujú telemetriu procesov, siete a pamäte a umožňujú rýchlu reakciu (izoláciu zariadení, ukončenie procesov, vrátenie zmien).

Oprava a kalenie. Aktualizujte systém Windows, prehliadače a kancelárske balíkyAplikuje pravidlá redukcie povrchovej plochy, obmedzuje PowerShell, štandardne zakazuje makrá a riadi vykonávanie nepodpísaných binárnych súborov.

Riadenie aplikácií a domén. Zoznam povolených znižuje rizikoVyžaduje si to však prísne pravidlá aktualizácie a neustálu kontrolu: aj „dôveryhodné“ domény môžu byť napadnuté.

WAF a bezpečnosť aplikácií. Firewall webových aplikácií Pomáha izolovať útoky na aplikačnej vrstve a zastaviť pokusy o RFI alebo SQL injection; monitorovanie internej prevádzky odhaľuje nezvyčajné vzorce.

Prístup a riadenie údajov. Segmentácia siete, uplatňovanie čo najmenších privilégiíPosilňuje viacfaktorovú autentifikáciu (MFA) a monitoruje prístup k citlivým zdrojom. Riadi zdieľanie súborov a ak je to možné, blokuje vymeniteľné zariadenia.

Telemetria a DNS. Dávajte pozor na vzory, ktoré odkazujú na tunely DNS alebo iné skryté cesty úniku; vytvára upozornenia na nezvyčajné kompresie a pohyb veľkých objemov údajov.

Uvedomenie si situácie, ale bez slepej viery. Tréning pomáha. hoci aj vyškolený personál môže spadnúťDopĺňajú ho technické kontroly, zoznamy sledovaných položiek a detekcia správania.

Ako reagovať: od prvej indikácie až po neustále zlepšovanie

• Identifikácia a hodnotenie. Používajte pokročilé nástroje na monitorovanie a forenznú analýzu udalostí a súborov. Určuje skutočný rozsah, vektory a ovplyvnené účty kontrolou protokolov a artefaktov.
• Zadržiavanie. Izolujte napadnuté systémyZrušte relácie a tokeny, zmeňte poverenia a urýchlene segmentujte. Zabráňte útočníkovi v pokračovaní v pohybe alebo úniku.
• Eradikácia a zotavenie. Odstraňuje útočné nástroje a opravuje zraniteľnosti y Obnoviť zo známych záloh ako neporušené. Udržiavajte zvýšený monitoring na zistenie zvyškovej aktivity.
• Analýza a zlepšenie. Zdokumentujte incident, aktualizujte pravidláUpravte pravidlá detekcie a transparentne komunikujte so zainteresovanými stranami. Táto fáza znižuje náklady na budúce narušenia.

Nástroje a inteligencia: čo robí rozdiel

Prístupy založené na umelej inteligencii, ktoré detekujú binárne súbory malvéru a ransomvéru pred spustením, proaktívne služby vyhľadávania hrozieb a každodenné posilňovanie SOC prostredníctvom MDR sú kľúčovými pákami na udržanie si náskoku pred vznikajúcimi TTP.

Portály pre spravodajské informácie o hrozbách s prístupom k technické a kontextové informácie takmer v reálnom čase Umožňujú vám predvídať kampane, aktualizovať detekcie a napĺňať zoznamy sledovaných položiek. Dopĺňajú EDR/XDR na koncových bodoch a sieťových senzoroch pre kompletné pokrytie.

Bežné príznaky kompromitácie v systéme Windows, ktoré by ste nemali ignorovať

• Vysoký počet prihlásení po pracovnej dobe a v účtoch s vysokými oprávneniami; korelácia medzi nárastmi dát a vzdialeným prístupom.
• Opakujúci sa aktéri alebo opätovný výskyt zadných vrátokKlonované trójske kone, ktoré sa vracajú po údajnom „vyčistení“.
• Zachytávanie pošty alebo zvláštne prihlasovacie údaje do poštových schránok; phishing zameraný konkrétne na manažérov alebo finančné oddelenia.
• Iné anomálienezvyčajná pomalosť servera, zmeny v registroch, vytváranie neznámych účtov alebo zvláštne služby pri spustení.

Náklady a motivácia: prečo APT nepotrebuje veľký rozpočet

Aj keď vás to možno prekvapí, Prevádzkové náklady niektorých APT kampaní môžu byť nízke.Komerčné nástroje na penetračné testovanie a niektoré infraštruktúrne služby tvoria veľkú časť výdavkov, ale návratnosť pre útočníka (ekonomická alebo strategická) zvyčajne odôvodňuje investíciu.

Najčastejšie otázky

• Aký je rozdiel medzi APT a „pokročilým cieleným útokom“ (ATA)? V praxi ATA opisuje metodiku používanú dobre zavedenými skupinami; keď je táto aktivita trvalá, s neustálym pretrvávaním a prispôsobovaním sa, hovoríme o APT. Rozlišujú sa taktikou, infraštruktúrou, opätovným použitím kódu a typom cieľov.
• Aké sú typické ciele a spôsob fungovania APT35? Zvyčajne sa zameriavajú na strategické sektory a akademickú obec, pričom veľmi dôveryhodný spear phishing, krádež poverení, zneužívanie cloudových služieb a pretrvávanie v systéme Windows pomocou natívnych nástrojov a maskovaného C2.
• Ako zistím APT, ak nezanecháva takmer žiadne stopy? vyhľadávanie abnormálne správanie: prihlásenia mimo vzoru, veľké komprimované súbory, zvláštna odchádzajúca prevádzka, procesy iniciujúce nezvyčajné pripojenia a opakovaný výskyt škodlivého softvéru po vyčistení.
• Stačí antivírus a školenie? Nie. Potrebujete EDR/XDR, telemetriu, segmentáciuRiadenie aplikácií a koordinovaná reakcia. Povedomie pomáha, ale automatizácia a viditeľnosť sú nevyhnutné.

Posilnenie systému Windows proti APT35 a iným APT si vyžaduje kombináciu monitorovania, technológií a procesov. Vďaka robustným kontrolám prístupu, EDR/XDR, informáciám o hrozbách a dobre prepracovanej reakciiMôžete drasticky znížiť protivníkovo okno príležitostí a minimalizovať dopad, aj keď získa prvé kliknutie.