WikiDer > Advanced Persistent Threat

Advanced Persistent Threat

EIN Advanced Persistent Threat (GEEIGNET) ist ein lang anhaltendes und gezieltes Cyber ​​Attacke wenn eine unbefugte Person unentdeckt und über einen längeren Zeitraum Zugang zu einem Netzwerk. Das Ziel ist es, ständigen Zugriff zu erhalten und Daten zu stehlen. APT-Angriffe zielen hauptsächlich auf Länder und Organisationen.[1][2]

Drei Komponenten

Der Begriff wurde im Januar 2006 von der Luftwaffe der Vereinigten Staaten (USAF).

  • Fortgeschritten steht für Advanced: Die Angreifer verfügen über ein breites Spektrum an technisch komplexen Offensivwaffen, die sie oft kombinieren, um ihr Ziel zu erreichen.
  • hartnäckig steht für Persistenz: Die Angreifer sind sehr hartnäckig und verschaffen sich Schritt für Schritt Zugang. APT-Angreifer bleiben so lange wie möglich unsichtbar und bewegen sich vorsichtig von einem Ziel zum anderen, um nicht entdeckt zu werden.[3]
  • Bedrohung: Die Angreifer sind geschickt, gut organisiert und finanziell gut ausgestattet.

Gradient

Ein APT-Angriff besteht aus fünf Phasen über mehrere Monate. Die Schritte werden nacheinander von den Angreifern ausgeführt.[2][4]

Phase 0: Erkundung

In diesem Stadium ermitteln die Angreifer über öffentliche Quellen, Social-Media-Mining, Netzwerkscannen und Social Engineering von Schlüsselpersonen, wichtigen Vermögenswerten und Schwachstellen. Dies können Führungskräfte sowie IT-Administratoren und Hosts sein, die dem Ziel innerhalb der Organisation Zugriff gewähren können. Mit diesen Informationen wird eine Angriffskampagne gestartet.

Phase 1: Erster Angriff

Diese Phase umfasst normalerweise eine oder mehrere Methoden, die darauf abzielen, Zugang zu erhalten. Es werden verschiedene Methoden verwendet. Ein Beispiel hierfür ist eine gezielte E-Mail über einen Messebesuch, einen Lieferanten oder einen Kunden, die von einer bekannten E-Mail-Adresse versendet wird. Diese Methode wird auch als Speer bezeichnet.Phishing erwähnt. Die E-Mail enthält normalerweise einen Link zu einer Website mit website Malware. Die E-Mail kann auch einen Anhang im Office- oder PDF-Format enthalten. Diese Anhänge können den Computer beim Öffnen infizieren. Neben E-Mail, Social Engineering, Demo-CDs, USBSticks, USB-Geräte wie Mäuse, via W-lan, Bluetooth, Tablette, Laptops und Router.

Phase 2: Erstellen einer Hintertür

In dieser Phase verwaltet der Angreifer die infizierte Maschine mit einem internen oder externen Command and Control Server (C&C). Dieser Befehl und dieser Kontrollserver ermöglichen dem Angreifer aus der Ferne Malware aktualisieren, neu Malware und senden Sie Befehle an den infizierten Computer. Der Angreifer verfügt über Tools, wie z Wurzelkits, Keylogger oder Dateitransfertools zum Download bereit. Diese werden lokal und/oder auf Systemen installiert, was dem Angreifer in Phase 2a hilft.

Phase 2a: Erhalten Sie weitere Infektionen und zusätzliche Berechtigungen permission

Zu diesem Zeitpunkt lädt der infizierte Computer zusätzliche Komponenten herunter, um vertrauliche Daten (wie Kennwörter) an Netzwerkstandorten zu erkennen. Bei Bedarf wird spezielle Software installiert, wie z Cache-Dump und Post bekommen um Informationen und/oder Administratorrechte im weiteren Netzwerk zu erhalten.

Phase 3: Informationen einholen

Während dieser Phase sendet der infizierte Computer Informationen an den Server des Angriffs. Die Informationen können E-Mails, Dokumente, Mikrofon-Audio und Webcam-Bilder umfassen. Die Kommunikation kann sowohl direkt als auch über kompromittierte Proxy-Maschinen erfolgen.

Phase 4: Präsenz bewahren

Während dieser Phase werden kontinuierlich Informationen aus der Organisation entfernt. Der Angreifer wird versuchen, die Wahrscheinlichkeit einer Entdeckung zu begrenzen. Bei Bedarf wird er he Malware um Abwehrreaktionen voraus zu sein.

Phase 5: Ausstieg

Der Angreifer kann den Angriff stoppen, weil er sein Ziel erreicht hat. Er tut dies durch die Malware deinstallieren und Spuren seiner Anwesenheit löschen. Er kann sich auch dafür entscheiden, so lange wie möglich innerhalb der Organisation aktiv zu bleiben oder so viele Systeme und die Einsatzorganisation wie möglich zu sabotieren, um die Analyse- und Repressionsmöglichkeiten der Organisation zu stören.

Angreifer

Hinter den APT-Angriffen können staatliche Akteure wie Geheimdienste, Sicherheitsdienste und Militäreinheiten sowie organisierte Kriminelle und Terroristen stecken. APT-Angreifer oder APA-Angreifer (Advanced Persistent Adversary) wurden von anderen Angreifern durch ihren Grad an Raffinesse, Organisation und Ressourcen unterschieden. Darüber hinaus zielen sie auf eine bestimmte Organisation oder Einheit und greifen an, bis sie ihre Ziele erreicht haben. APT-Angreifer arbeiten unabhängig oder als Teil einer größeren Gruppe. Wenn es eine Gruppe gibt, werden die Aktivitäten unterteilt.[5]

Motive

Die Motive von APT-Angreifern sind vielfältig. Staatliche Akteure handeln auf der Grundlage wirtschaftlicher, politischer oder militärisch-strategischer Vorteile. Kriminelle greifen aus finanziellen Gründen, aus Unzufriedenheit oder aus ideologischen Gründen an. Andere Motive sind:[5][6]

  • Erhalten von finanziellen Vorteilen.
  • Informationen sammeln.
  • Wettbewerbsvorteil für die Branche erreichen.
  • Bringen Sie eine Organisation in Verlegenheit und schädigen Sie ihren Ruf.

Bekannte APT-Angriffe

Externer Link

National Cyber ​​​​Security Center: Factsheet „Persistenz gewinnt – Advanced Persistent Threats“