Розвинена стала загроза або постійна загроза підвищеної складності () — різновид складних кібератак з метою отримання несанкційованого доступу до інформаційних систем жертви та встановлення прихованого доступу до неї з метою використання або контролю в майбутньому.

Одне з визначень тлумачить поняття розвиненої сталої загрози так: розвинена () — здатна обійти наявні системи захисту (мережеві екрани, антивіруси, різні фільтри, тощо); зловмисник здатен знаходити нові вразливості або створювати нові зразки шкідливого ПЗ. стала () — здатна залишатись непоміченою для систем виявлення загроз (антивіруси, системи виявлення вторгнень, тощо); зловмисник націлений на досягнення мети, може мати відповідний наказ від замовника. загроза () — здатна завдати певну шкоду; зловмисник добре організований, має необхідні засоби, мотивацію.

Низка дослідників визначають APT як угрупування (а не власне саму кібератаку чи різновид шкідливого ПЗ) висококваліфікованих, добре оснащених хакерів, які проникають в інформаційні системи з метою саботажу або викрадення інформації.

Найчастіше джерелами APT є установи, що фінансуються з державних бюджетів та мають цілі, що виходять далеко за межі звичайної кіберзлочинності: військова розвідка; економічний саботаж; промислове шпигунство; фінансові махінації; політичні маніпуляції.

Інженер фірми TrendMicro Раймонд Дженес вважає, що розвиненими сталими загрозами слід називати лише кібератаки, здійснені державами (відповідними спеціальними підрозділами).

Низка дослідників вважають, що поняття «розвиненої сталої загрози» було вперше запропоноване в 2006 році інженерами ВПС США заради можливості обговорення зазначеної проблеми комп'ютерної безпеки з особами без доступу до державної таємниці.

Характерні риси

Зазвичай атаки типу розвинених сталих загроз відбуваються за декілька етапів: Розвідка () — виявлення слабких місць у захисті організації (DNS-запити до домену організації, сканування портів та вразливостей сервісів); Початкове втручання () — виявлені вразливості експлуатуються для закріплення в мережі, для чого використовуються складні техніки (spear-phishing, соціальна інженерія); Розширення повноважень () — подальша експлуатація, хакери працюють над отриманням якомога більшого контролю над системами та над додатковими системами, встановлюють «бекдори» (), які спрощують повторний доступ в систему Подальша експлуатація () — нападники отримують можливість постійного та безперешкодної ідентифікації, компрометації та використання конфіденційних даних.

При цьому, слід зазначити, що: об'єкти атак APT — це чітко визначені організації, телекомунікаційна інфраструктура, технічні рішення тощо. Таким чином, атаки APT мають невеликий розголос та рідко викликають суспільний резонанс. Часто об'єкти атак бояться розголосу того, що вони стали жертвами APT незалежно від того, державний, приватний чи комерційний сектор вони представляють; суб'єктами атак APT використовуються найновітніші хакерські техніки та технології, ціна яких зазвичай — велика для більшості звичайних комп'ютерних зловмисників. Атакуюча сторона не зупиняється при здійсненні APT, зіткнувшись з ситуацією, коли об'єкт атаки має досить надійний захист (це зазвичай робиться у разі «рядових» комп'ютерних злочинів); типові пристрої та технології захисту, що використовуються у телекомунікаціях, можуть лише затримати час проведення етапу 2, проте не ефективні на етапах 3 та 4. для захисту від APT ефективні проактивні та комплексні методики захисту, які дозволяють виявляти та попереджувати етап 2 та подальші етапи. APT може змінювати характеристики, дозволяючи обходити навіть дуже надійні мережеві пристрої захисту.

Сценарій типової атаки

Зазвичай атака від угрупування типу APT починається зі зламу комп'ютера жертви через поширене програмне забезпечення, наприклад, веббраузер, переглядач документів, переглядач мультимедіа. Також зустрічаються випадки використання методів соціальної інженерії, аби переконати жертву відкрити інфіковані файли (це може бути формату .chm/.hlp або .scr/.exe/.pif з вдало підібраною назвою, запакований в архів zip/rar/7-zip). Вкладення до електронних листів та маніпуляція URL належать до найпоширеніших напрямів атаки, хоча відомі випадки використання цільової реклами для поширення вірусу, атаки на загальнодоступні сервери (вебсервери, сервери баз даних) та навіть фізичне втручання в роботу системи.

Групи типу розвиненої сталої загрози схильні не використовувати екзотичні або унікальні вразливості інформаційних систем. Натомість вони віддають перевагу вже відомим, навіть інколи з випущеними латками виправлення, вразливостям, в сподіванні на людський чинник та відмінну від нуля ймовірність вдалого зараження інформаційної системи жертви. Унікальні, невідомі широкому загалу вразливості типу Zero-day використовують лише у надзвичайних випадках, наприклад, коли здійснити атаку на жертву слід дуже терміново.

Незалежно від способу проникнення в інформаційну систему, в ній з'являється екземпляр шкідливого ПЗ, яке зв'язується з сервером управління, з якого вже отримує додаткові модулі, команди, та куди може передавати викрадену інформацію.

Приклади

Відомі приклади Різні дослідники зараховують такі відомі кібератаки до класу розвинених сталих атак:

Операція «Shady RAT», яка тривала декілька років та жертвами якої стали понад 70 підприємств, державних та недержавних установ, міжнародних організацій. Операція «Аврора» — кібератака проти інформаційних систем низки компаній із технологічно-безпекового сектору розпочалась в середині 2009 року та завершилась в грудні 2009 року. Зловмисники атакували системи управління конфігураціями програмного забезпечення, які містили інформацію Google, Adobe, та низки компаній зі списку Fortune 100 за останні кілька місяців. В березні 2011 року RSA визнала, що її інформаційні системи були успішно атаковані. В результаті фішингової атаки з інфікованими вкладеннями електронних таблиць, зловмисники змогли встановити на вражені комп'ютери системи віддаленого доступу Poison Ivy (PI-RAT). Злам у 18 березня 2011 року систем RSA SecurID, які використовували двофакторну автентифікацію та за допомогою токенів, включаючи дані, які використовувались компанією для генерації одноразових паролів. Операція «Аврора» 2011 року, в рамках якої було вкрадено сенситивну інформацію, таку як інтелектуальна власність (програмні коди власності Google, Adobe та інших широковідомих компаній). Під час цього використовувались техніки високої складності та доброї скоординованості. У 2014 році CERT-UA зафіксовано 2 атаки на органи державної влади України, які мають усі ознаки APT. В березні 2015 року фахівці компанії ESET виявили зразки шкідливої програми «Win32/Potao» на деяких стратегічних об'єктах України, включно з урядом, військовими структурами та великим інформаційним агентством. В 2015 році сталась перша відома вдала атака на енергосистему («Прикарпаттяобленерго») з виведенням її з ладу. Злам інформаційних систем Європейської комісії напередодні важливого саміту. Злам інформаційних систем уряду Франції напередодні зустрічі G20 в 2011 році. Інформаційні системи щонайменше 10 норвезьких енергетичних та оборонних компаній були зламані в 2011 році під час важливих переговорів. Інформаційні системи Міжнародного валютного фонду були зламані в 2011 році.

Інструменти

Різні дослідники відносять деякі види шкідливого програмного забезпечення до інструментарію розвинених сталих загроз. Зокрема, в доповіді CERT-PL за 2015 рік були названі: Duqu 2.0 CozyDuke Uroborus SYNful Knock

Також до інструментарію APT відносять: BlackEnergy

Угрупування

Росія

: В першому бюлетені 2016 року німецька служба контррозвідки — Федеральна служба захисту конституції Німеччини (), надала високу оцінку здібностям російської розвідки а також представила широкий перелік відомих жертв російських кібератак.

Серед відомих угрупувань типу розвинена стала загроза, які пов'язують з Росією або російськими підрозділами спеціального призначення, називають:: Energetic Bear/Dragonfly/Havex Crouching Yeti/Koala Team Uroburos/Epic Turla/Snake/SnakeNet APT 28/Sofacy Group/Sednit Group/Tsar Team/Fancy Bear/Operation Pawnstorm PinchDuke GeminiDuke CosmicDuke/Tinybaron/BotgenStudios/NemesisGemina MiniDuke OnionDuke APT29/Hammertoss/HammerDuke CozyDuke/CozyCar/CozyBear/Office Monkeys/Cozer/EuroAPT SeaDuke/SeaDaddy/SeaDask CloudDuke/MiniDionis/CloudLook Sandworm/Quedagh/BlackEnergy Carbanak

Служба зовнішньої розвідки Естонії вважає, що угрупування APT28 (Sofacy/Fancy Bear) працює в інтересах ГРУ ГШ РФ, угрупування SNAKE (Turla) працює в інтересах ФСБ РФ, а угрупування APT29 (Cozy Bear/The Dukes) працює в інтересах ФСБ та Служби зовнішньої розвідки РФ.

Сполучені Штати Америки

: Серед відомих угрупувань типу розвинена стала загроза, які пов'язують зі Сполученими Штатами Америки або американськими підрозділами спеціального призначення, називають: Butterfly Group/Morpho, Regin/Prax/WarriorPride, Flame/Flamer/Skywiper, Tailored Access Operations (TAO), Equation Group (Лабораторія Касперського пов'язує дане угрупування з АНБ).

За галуззю

Німецька контррозвідка у щорічному звіті за 2017 рік навела такий огляд відомих угрупувань типу розвинена стала загроза за їхніми основними галузями інтересу: Урядові установи APT6/1.php, APT12/NumberedP, APT28/Sofacy, APT29/CozyBear, APT32/OceanLotus, Cadelle/Chafer, Callisto/DancingSal, CharmingKitten, Danti, DarkHotel, Dropping-Elephant, EmissaryPanda, Gamaredon, GazaCybergang, GothicPanda, Greenbug, Groundbait, HammerPanda, Infy, KeyBoy, Longhorn, LotusPanda, Machete, Mofang, Naikon/OverrideP, NanHaiShu, OilRig, Operation-Cleaver, Remsec/ProjectSauron, ScarletMimic, Shamoon, Snake, Suckfly, TidePool/Ke3chang, Transparent-Tribe, TropicTrooper/PirateP, ViceroyTiger Оборонно-промисловий комплекс APT28/Sofacy, AridViper, Callisto/DancingSal, CharmingKitten, C-Major/PureStrike, Dropping-Elephant, Gamaredon, Gaza­Cybergang, GothicPanda, HammerPanda, LotusPanda, Machete, Mofang, Naikon/OverrideP, OilRig, Operation-Cleaver, Remsec/ProjectSauron, Snake Енергетика APT10, APT18/Wekby, APT29/CozyBear, CharmingKitten, ElectricPowder, EmissaryPanda, Greenbug, Kraken/Laziok, Longhorn, Machete, OnionDog, OperationCleaver, Sandworm, Shamoon, TropicTrooper/PirateP. Опозиційні рухи Ahtapot, APT32/OceanLotus, Bookworm, FlyingDragon, Groundbait, Group5, Infy, Neodymium, Operation-Cleaver, Operation Manul, Promethium, ScarletMimic, Sima, StealthFalcon Засоби масової інформації APT28/Sofacy, APT32/OceanLotus, BugDrop, Callisto/DancingSal, DarkHotel, GazaCybergang, Groundbait, Infy, Operation Manul, Sandworm, ShroudedCrossbow, StealthFalcon, Tick Фанансовий сектор APT18/Wekby, APT29/CozyBear, EmissaryPanda, EquationGroup, GazaCybergang, HammerPanda, Longhorn, OilRig, Sandworm, Suckfly Телекомунікації APT18/Wekby, Codoso, EmissaryPanda, HammerPanda, Longhorn, Machete, OilRig, Remsec/ProjectSauron Неурядові організації APT29/CozyBear, Callisto/DancingSal, CharmingKitten, HammerPanda, Infy, NilePhish, Operation-Cleaver, RocketKitten Університети APT10/menuPass, BugDrop, Codoso, Greenbug, DarkHotel, Longhorn, RocketKitten Високі технології APT18/Wekby, CharmingKitten, Codoso, LEAD/Winnti, Tick Транспорт і логістика Cadelle/Chafer, OilRig, OnionDog, Remsec/ProjectSauron, Shamoon Авіабудування, авіація, космонавтика APT28, EmissaryPanda, HammerPanda, Greenbug, Longhorn Охорона здоров'я APT10/menuPass, LEAD/Winnti, Suckfly Різні офіси, керівництво підприємств APT29/CozyBear, Codoso, DeepPanda, NanHaiShu

Примітки

Див. також Ланцюг ураження цілі Інформаційна безпека Комп'ютерна безпека Кібервійна та Російсько-українська кібервійна

Посилання

Рекомендації CERT-UA щодо протидії APT APT jakie jest każdy widzi аналіз стану APT та прогнози подальшого розвитку