Como exemplo de uma APT bem executada, apresentamos aqui uma rápida visão geral do APT10, uma campanha que talvez tenha começado em 2009. Como uma das ameaças de segurança cibernética mais duradouras da história, o APT10 atacou recentemente empresas por meio de provedores de serviços gerenciados em diversos setores de vários países, bem como de algumas empresas japonesas, causando inúmeros danos por meio do roubo de grandes volumes de dados.

Esses ataques, que estavam ativos desde o final de 2016, foram descobertos pela PwC UK e pela BAE Systems. Na Operação Cloud Hopper, um relatório conjunto sobre essa campanha, essas organizações admitem que a extensão total dos danos causados pelo APT10 possivelmente nunca será conhecida.

Veja a seguir alguns destaques importantes sobre o que essas organizações concluíram sobre o APT10 no relatório:

• A campanha provavelmente está sendo orquestrada por uma fonte de ameaças localizada na China.
• Ela começou em 2009 ou antes e usa vários tipos de malware para obter acesso sem precedentes ao longo do tempo.
• Os invasores APT10 aprimoram continuamente seus métodos de ataque, usando ferramentas avançadas recém-desenvolvidas que ajudam a aumentar a escala e os recursos dos ataques.
• Como a maioria dos ataques de APT, o APT10 atinge a propriedade intelectual e os dados confidenciais.
• A PwC UK e a BAE acreditam que a fonte de ameaças tem uma equipe e um conjunto de recursos em forte expansão, talvez com várias equipes de invasores altamente qualificados trabalhando continuamente.

* Cinco indícios de que você foi atingido por uma ameaça persistente avançada (APT)

À medida que mais APTs são descobertas, as organizações de segurança estão se tornando mais hábeis na detecção dessas ameaças furtivas. Uma das abordagens em evolução é a busca de ameaças, que combina tecnologia inovadora e inteligência humana em um enfoque proativo e iterativo, que identifica ataques que passam despercebidos apenas pela segurança de endpoints padrão.

A violação leva, em média, 150 dias para ser descoberta. No entanto, com a busca de ameaças, as organizações podem descobrir ataques como APTs precocemente na sequência de ataques, observando dados históricos e não filtrados de endpoints para identificar comportamentos e relacionamentos incomuns entre atividades que são anomalias.

Um caçador de ameaças começa a busca com um conjunto de ferramentas tecnológicas inovadoras, inteligência de detecção de ameaças e informações humanas. Em seguida, ele refina o processo de busca por meio de pesquisas iterativas que levam à descoberta das causas principais. Depois, ele responde às ameaças desativando-as e usando as informações e a inteligência obtidas para proteger o ambiente no futuro.

• Para começar, um caçador de ameaças pode usar as características conhecidas de uma ameaça específica, juntamente com informações humanas sobre possíveis sequências de ataque. O caçador pode iniciar uma série de pesquisas iterativas com ferramentas que pesquisam ambientes enquanto monitoram, registram e armazenam todas as atividades de endpoints.
• Por exemplo, a PwC UK e a BAE Systems descobriram que os invasores usaram arquivos maliciosos do Excel fornecidos por meio de campanhas de e-mail de phishing via Outlook. Os pesquisadores também descobriram que a abertura desses arquivos fazia com que novos arquivos fossem colocados em uma pasta temporária e que esses arquivos agiam como listeners C2, saindo pela porta 8080.
• Uma pesquisa inicial pode retornar um grande volume de dados, portanto, um caçador de ameaças normalmente precisa restringir uma pesquisa. No caso de uma ameaça APT10, um dos critérios de pesquisa pode ser as máquinas de RH, pois elas contêm dados confidenciais essenciais. Em seguida, usando a inteligência conhecida, o caçador de ameaças pode restringir ainda mais a pesquisa procurando arquivos do Excel que vieram como anexos de e-mail do Outlook. O próximo critério de pesquisa lógico seria uma conexão de comando e controle, que poderia ser detectada por meio da procura de conexões de rede com mais de uma conexão.
• Isso produzirá um conjunto de dados menor, que poderá ser visualizado como uma árvore de análise de processos, que exporá o arquivo temporário malicioso. Depois que essa condição é identificada, ela pode ser monitorada para verificar se o arquivo tentou criar uma conexão de rede pela porta 8080.
• Essa sequência de atividades confirma que houve um ataque APT10 ativo no ambiente em questão. Com a busca de ameaças e as avançadas ferramentas antivírus de próxima geração, o ataque pode ser isolado no computador host para bani-lo da rede. Outra opção é proibir o valor de hash, a fim de impossibilitar sua execução.
• A atividade final do caçador de ameaças é proteger o ambiente contra ataques futuros. Isso é feito por meio da generalização e da ampliação da sequência de consultas descrita acima para criar uma lista de observação. A ferramenta de segurança identifica essas atividades e envia alertas automáticos por e-mail para que medidas corretivas possam ser tomadas imediatamente.