APT1
L'APT era un gruppo sostenuto dallo Stato noto per aver sottratto enormi quantità di dati a grandi aziende e agenzie governative. Sebbene sia stato smascherato grazie a ricerche nel campo della sicurezza informatica, si ritiene che le tattiche di questo attore malintenzionato siano ancora in uso oggi.
L'origine di APT1
APT1 è stato individuato per la prima volta nel 2006 ed è stato attribuito all'Esercito popolare di liberazione (PLA) cinese. Si tratta di uno dei gruppi di attacco sponsorizzati da Stati più attivi al mondo, che ha utilizzato tecniche sofisticate per eludere i sistemi di rilevamento e sottrarre centinaia di terabyte di dati da oltre 140 organizzazioni nel corso di sette anni.
Il gruppo è rimasto attivo fino al febbraio 2013, quando ha iniziato a ridurre il numero dei propri attacchi dopo essere stato smascherato da un approfondito rapporto di ricerca sulla sicurezza informatica. Da allora, le aziende produttrici di software di sicurezza hanno individuato attacchi che riutilizzavano alcune delle tecniche originarie di APT1.
Paesi presi di mira dall'APT1
Settori presi di mira da APT1
Si ritiene che l'APT1 sia responsabile di attacchi rivolti a organizzazioni operanti in un ampio ventaglio di settori dotati di infrastrutture critiche, tra cui agenzie governative, multinazionali e appaltatori del settore della difesa.
Vittime dell'APT1
Si ritiene che APT1 abbia sottratto centinaia di terabyte di dati da almeno 141 organizzazioni, dimostrando la capacità di rubare informazioni da decine di organizzazioni contemporaneamente.
Fonte: Mandiant
Metodo di attacco APT1
APT1 utilizza e-mail di spearphishing contenenti allegati o link dannosi per ottenere un punto d'appoggio all'interno di una rete.
Il gruppo sfrutta le vulnerabilità e utilizza strumenti come Mimikatz per ottenere privilegi elevati.
Ricorrono a tattiche di camuffamento, come ad esempio dare malware nomi malware di processi legittimi.
APT1 ha estratto le credenziali dalla memoria di LSASS utilizzando strumenti come Mimikatz.
Comandi come elenco delle attività, utente di rete, e ipconfig /all vengono utilizzati per mappare la rete e il sistema della vittima.
Strumenti come RDP consentono loro di spostarsi tra i vari sistemi all'interno della rete.
Utilizzano script automatizzati e strumenti come GETMAIL per raccogliere indirizzi e-mail e altri file importanti.
APT1 si avvale della riga di comando di Windows e degli script batch per l'automazione.
I dati raccolti vengono spesso compressi utilizzando il formato RAR prima di essere sottratti.
Grazie a sofisticate tecniche di elusione, APT1 è riuscita a sottrarre ingenti quantità di proprietà intellettuale, acquisendo ben 6,5 terabyte di dati compressi da una singola organizzazione nell'arco di dieci mesi.
APT1 utilizza e-mail di spearphishing contenenti allegati o link dannosi per ottenere un punto d'appoggio all'interno di una rete.
Il gruppo sfrutta le vulnerabilità e utilizza strumenti come Mimikatz per ottenere privilegi elevati.
Ricorrono a tattiche di camuffamento, come ad esempio dare malware nomi malware di processi legittimi.
APT1 ha estratto le credenziali dalla memoria di LSASS utilizzando strumenti come Mimikatz.
Comandi come elenco delle attività, utente di rete, e ipconfig /all vengono utilizzati per mappare la rete e il sistema della vittima.
Strumenti come RDP consentono loro di spostarsi tra i vari sistemi all'interno della rete.
Utilizzano script automatizzati e strumenti come GETMAIL per raccogliere indirizzi e-mail e altri file importanti.
APT1 si avvale della riga di comando di Windows e degli script batch per l'automazione.
I dati raccolti vengono spesso compressi utilizzando il formato RAR prima di essere sottratti.
Grazie a sofisticate tecniche di elusione, APT1 è riuscita a sottrarre ingenti quantità di proprietà intellettuale, acquisendo ben 6,5 terabyte di dati compressi da una singola organizzazione nell'arco di dieci mesi.
Tattiche, tecniche e procedure (TTP) di APT1
Come individuare minacce come APT1 con Vectra AI
Migliaia di aziende si affidano a potenti sistemi di rilevamento basati sull'intelligenza artificiale per individuare e bloccare gli attacchi prima che sia troppo tardi.
Domande frequenti
Che cos'è APT1?
APT1 è una minaccia persistente avanzata (APT) con origini in Cina. Si ritiene che sia uno dei gruppi di attacco sponsorizzati da Stati più prolifici di tutti i tempi, vista l'enorme quantità di dati sottratti.
Chi c'è dietro APT1?
Si ritiene che l'APT1 sia collegato all'Esercito popolare di liberazione (PLA) cinese. Anche se non si trattasse di un'entità ufficiale del governo cinese, la maggior parte dei ricercatori nel campo della sicurezza informatica ritiene che il governo fosse almeno a conoscenza delle sue operazioni.
Qual è l'obiettivo principale di APT1?
L'APT1 si dedica allo spionaggio informatico, rubando proprietà intellettuale e dati sensibili a vantaggio degli interessi strategici della Cina.
Quali strumenti e tecniche utilizza APT1?
L'APT1 è noto per l'utilizzo di tattiche, tecniche e procedure (TTP) avanzate volte a eludere il rilevamento e a mantenere una presenza persistente sulle reti delle proprie vittime. Queste vanno dagli phishing spear phishing al protocollo Remote Desktop Protocol.
Per quanto tempo l'APT1 rimane in genere all'interno di una rete?
Spesso mantengono l'accesso per lunghi periodi, sfruttando le loro tecniche di persistenza.
Quali sono i settori più a rischio?
Il settore aerospaziale, quello della difesa e quello delle telecomunicazioni sono obiettivi prioritari per APT1.
Qual è il ruolo delle infrastrutture nelle operazioni di APT1?
APT1 registra e dirotta domini a fini di phishing, comando e controllo ed esfiltrazione di dati.
Quali sono le conseguenze di un attacco APT?
Una volta che un APT riesce a eludere gli strumenti di prevenzione della sicurezza, gli autori degli attacchi utilizzano tecniche estremamente sofisticate per avanzare all'interno della rete e ottenere l'accesso ad account con privilegi. APT1 era particolarmente abile nell'eludere i sistemi di rilevamento, il che ha permesso al gruppo di rimanere inosservato per mesi o addirittura anni. Ciò ha portato al furto di enormi quantità di dati.
Qual è il modo migliore per prevenire gli attacchi APT?
Sebbene non sia possibile garantire una prevenzione al 100%, le misure di sicurezza possono aiutare a tenere a bada gli attacchi APT. Tra queste figurano l'imposizione di password complesse, la formazione dei dipendenti sui pericoli del phishing e l'adozione di protocolli di autenticazione.
In che modo le organizzazioni possono individuare e bloccare gli attacchi APT?
Una volta che un attacco APT riesce a eludere i vostri strumenti di prevenzione, il rilevamento in tempo reale diventa fondamentale. Il modo migliore per individuare e bloccare gli autori degli attacchi è ricorrere a sistemi di rilevamento basati sull'intelligenza artificiale, progettati per identificare le tattiche, le tecniche e le procedure più recenti, nonché per distinguere le attività semplicemente sospette dalle minacce reali.