Che cos'è una minaccia persistente avanzata (APT)?

Come esempio di APT ben eseguito, ecco una rapida panoramica di APT10, una campagna che forse è iniziata già nel 2009. Essendo una delle minacce alla sicurezza informatica più durature della storia, APT10 ha recentemente attaccato aziende tramite managed service provider in diversi settori in molti paesi, nonché alcune aziende giapponesi, causando una quantità sconosciuta di danni a causa del furto di grandi volumi di dati.

Questi attacchi, attivi dalla fine del 2016, sono stati scoperti da PwC UK e BAE Systems. In Operation Cloud Hopper, un report congiunto su questa campagna, queste organizzazioni ammettono prontamente che l'entità del danno causato da APT10 potrebbe non essere mai nota.

Ecco alcuni punti salienti di ciò che queste organizzazioni hanno appreso su APT10 dal report:

• La campagna è molto probabilmente orchestrata da un autore di minacce con sede in Cina.
• È stato avviata nel 2009 o prima e utilizza vari tipi di malware per ottenere un accesso senza precedenti nel tempo.
• Gli hacker PT10 evolvono continuamente i loro metodi di attacco, utilizzando strumenti avanzati di recente sviluppo che aiutano ad aumentare la scala e le funzionalità degli attacchi.
• Come la maggior parte degli attacchi APT, APT10 mira alla proprietà intellettuale e ai dati sensibili.
• PwC UK e BAE ritengono che l'autore della minaccia abbia un personale e un insieme di risorse in notevole crescita, forse con più team di hacker altamente qualificati continuamente all'opera.

* 5 segnali che indicano che sei stato colpito da una minaccia persistente avanzata (APT)

Man mano che vengono scoperte sempre più APT, le organizzazioni di sicurezza stanno diventando più abili nello scoprire queste minacce nascoste. Uno degli approcci in evoluzione è la ricerca delle minacce, che unisce tecnologia innovativa e intelligence umana in un approccio proattivo e iterativo che identifica gli attacchi che non vengono rilevati solo dalla sicurezza degli endpoint standard.

L'individuazione di una violazione media richiede 150 giorni. Tuttavia, con la ricerca delle minacce, le organizzazioni possono individuare attacchi come le APT nelle prime fasi della sequenza di attacco osservando i dati cronologici e non filtrati degli endpoint per trovare comportamenti insoliti e relazioni tra attività che rappresentano anomalie.

Un ricercatore di minacce inizia la ricerca con una serie di strumenti tecnologici innovativi, intelligence sulle minacce e informazioni umane. Il ricercatore perfeziona quindi il processo attraverso ricerche iterative che portano all'individuazione delle cause primarie. Il ricercatore risponde quindi alle minacce disattivandole e utilizzando le informazioni approfondite e l'intelligence acquisite per proteggere l'ambiente in futuro.

• Per iniziare, un ricercatore di minacce può utilizzare le caratteristiche note di una minaccia specifica, insieme a informazioni approfondite sulle potenziali sequenze di attacco. Il ricercatore può avviare una serie di ricerche iterative con strumenti che cercano negli ambienti durante il monitoraggio, la registrazione e la memorizzazione di tutte le attività degli endpoint.
• Ad esempio, PwC UK e BAE Systems hanno scoperto che gli hacker utilizzavano file Excel malevoli distribuiti tramite campagne di phishing via e-mail tramite Outlook. I ricercatori hanno anche scoperto che l'apertura di questi file causava il rilascio di nuovi file in una cartella temporanea e che tali file fungevano da listener C2, uscendo sulla porta 8080.
• Una ricerca iniziale può restituire un grande volume di dati, quindi un ricercatore di minacce in genere deve restringere la ricerca. Nel caso di una minaccia APT10, un criterio di ricerca potrebbe essere rappresentato dalle macchine HR, poiché contengono dati critici e sensibili. Quindi, utilizzando l'intelligence nota, il ricercatore di minacce può restringere ulteriormente il campo cercando i file Excel inviati come allegati e-mail di Outlook. Il successivo criterio di ricerca logica è una connessione di comando e controllo, che può essere individuata cercando le connessioni di rete con più di una connessione.
• Questo produrrà un set di dati più piccolo, che potrà quindi essere visualizzato come una struttura ad albero di analisi dei processi che esporrà il file temporaneo malevolo. Una volta identificato il file, è possibile monitorarlo ulteriormente per vedere che ha tentato di creare una connessione di rete sulla porta 8080.
• Questa sequenza di attività conferma l'esistenza di un attacco APT10 attivo in questo ambiente. Utilizzando la ricerca delle minacce e strumenti antivirus avanzati di nuova generazione, l'attacco può essere isolato sul computer host per portarlo fuori dalla rete. Un'altra opzione è vietare il valore hash in modo che non possa essere eseguito.
• L'ultima attività di ricerca delle minacce è quella di proteggere l'ambiente da attacchi futuri. Ciò avviene generalizzando e ampliando la sequenza di query sopra descritta per creare un elenco di controllo. Lo strumento di sicurezza identifica tali attività e invia avvisi e-mail automatici in modo da poter intraprendere immediatamente un'azione correttiva.