À titre d’exemple d’une APT bien exécutée, voici une présentation rapide d’APT10, une campagne qui a peut-être commencé dès 2009. Constituant potentiellement l’une des menaces de cybersécurité les plus persistantes de l’histoire, APT10 a récemment attaqué des entreprises par l’intermédiaire de fournisseurs de services gérés de plusieurs secteurs d’activité dans de nombreux pays, ainsi que certaines entreprises japonaises, et a occasionné une quantité indéterminée de dommages via le vol d’importants volumes de données.

Ces attaques, actives depuis fin 2016, ont été découvertes par PwC UK et BAE Systems. Dans un rapport conjoint consacré à cette campagne, l’Opération Cloud Hopper, ces entreprises admettent volontiers que l’étendue des dommages causés par APT10 ne sera peut-être jamais connue.

Voici quelques-uns des principaux enseignements tirés du rapport de ces entreprises sur APT10 :

• La campagne est probablement orchestrée par un cybercriminel implanté en Chine.
• Elle a commencé en 2009 ou avant et utilise divers types de logiciels malveillants pour obtenir des accès sans précédent au fil du temps.
• Les cybercriminels à l’origine d’APT10 font évoluer en permanence leurs méthodes d’attaque en utilisant de nouveaux outils avancés qui permettent d’augmenter l’échelle et les capacités des attaques.
• À l’instar de la plupart des attaques APT, APT10 s’attaque à la propriété intellectuelle et aux données sensibles.
• PwC UK et BAE estiment que le cybercriminel dispose de plus en plus de personnel et de ressources, avec peut-être plusieurs équipes de cybercriminels hautement qualifiés à l’œuvre en permanence.

* 5 signes indiquant que vous avez été victime d’une menace persistante avancée (APT)

Avec l’augmentation des découvertes d’APT, les équipes de sécurité parviennent de mieux en mieux à détecter ces menaces furtives. L’une des approches en pleine évolution est la recherche de menaces, qui combine une technologie innovante et des informations humaines en une approche proactive et itérative qui identifie les attaques qui ne sont pas détectées par la sécurité des terminaux standard.

Il faut en moyenne 150 jours pour détecter une violation. Cependant, avec la recherche des menaces, les entreprises peuvent détecter les attaques telles que les APT plus tôt dans la séquence d’attaque en observant les données historiques des terminaux non filtrées pour identifier les comportements inhabituels et les relations anormales entre les activités.

Un spécialiste de la recherche de menaces commence la détection avec un ensemble d’outils technologiques innovants, d’informations sur les menaces et d’informations humaines. Il affine ensuite le processus de recherche au moyen de recherches itératives qui mènent à la découverte des causes profondes. Le spécialiste répond ensuite aux menaces en les arrêtant et utilise les informations obtenues pour protéger l’environnement par la suite.

• Pour commencer, un spécialiste de la recherche de menaces peut utiliser les caractéristiques connues d’une menace particulière, ainsi que des informations humaines sur les séquences d’attaque potentielles. Il peut lancer une série de recherches itératives à l’aide d’outils qui parcourent les environnements pendant qu’il surveille, enregistre et stocke toute l’activité des terminaux.
• Par exemple, PwC UK et BAE Systems ont découvert que les cybercriminels utilisaient des fichiers Excel malveillants distribués via des campagnes d’hameçonnage par e-mail via Outlook. Les chercheurs ont également découvert que l’ouverture de ces fichiers entraînait le dépôt de nouveaux fichiers dans un dossier temporaire, et que ces fichiers fonctionnaient comme des dispositifs d’écoute C2, qui envoyait ses sorties sur le port 8080.
• Une recherche initiale peut renvoyer un grand volume de données. Le spécialiste de la recherche de menaces doit donc généralement affiner sa recherche. Dans le cas d’une menace APT10, l’un des critères de recherche peut être les machines des RH, car celles-ci contiennent des données stratégiques et sensibles. Ensuite, à partir d’informations connues, le spécialiste peut affiner encore la détection en recherchant les fichiers Excel reçus en pièces jointes dans des e-mails Outlook. Le critère de recherche logique suivant serait une connexion de commande et de contrôle, qui pourrait être découverte en recherchant des connexions réseau avec plusieurs connexions.
• Cela réduit la taille de l’ensemble de données, qui peut ensuite être considéré comme une arborescence d’analyse de processus qui met en évidence le fichier temporaire malveillant. Une fois identifié, il est possible de suivre ce fichier afin de déterminer s’il a tenté de créer une connexion réseau sur le port 8080.
• Cette séquence d’activités confirme la présence d’une attaque APT10 active dans cet environnement. Grâce à la recherche de menaces et à des outils antivirus nouvelle génération avancés, l’attaque peut être isolée sur l’ordinateur hôte pour être éliminée du réseau. Une autre option consiste à bannir la valeur de hachage pour qu’elle ne puisse pas être exécutée.
• L’activité finale du spécialiste en recherche de menaces consiste à protéger l’environnement contre les attaques futures. Cela s’effectue en généralisant et en élargissant la séquence de requêtes décrite ci-dessus pour créer une liste de surveillance. L’outil de sécurité identifie ces activités et envoie des alertes automatiques par e-mail afin que des mesures correctives puissent être prises immédiatement.