O que é um ataque APT e como pará-lo?

Uma ameaça persistente avançada (APT) está entre as ameaças cibernéticas mais perigosas que uma empresa pode enfrentar. Esses ataques são difíceis de detectar e permitem que um intruso se esconda dentro de uma rede durante meses. Enquanto os hackers permanecem no sistema, uma empresa sofre perdas e interrupções regulares de dados sem saber a causa dos problemas.

Este artigo é uma introdução aos ataques APT. Explicamos o que são APTs, ensinamos como reconhecer sinais de infecção e mostramos formas de se preparar para esse tipo de ataque.

O que é um ataque APT?

Uma ameaça persistente avançada (APT) é um ataque cibernético no qual um intruso ganha e mantém uma presença de longo prazo em uma rede. As consequências de um ataque APT são vastas e incluem:

• Perda de dados e propriedade intelectual.
• Sabotagem de infraestrutura.
• Interrupção do serviço.
• Total de aquisições de sites.

APTs são ataques em vários estágios que levam semanas para serem configurados e duram meses ou até anos. Um APT é diferente dos ataques cibernéticos comuns de quatro maneiras essenciais:

• Um APT é mais complexo do que uma ameaça online normal. Os ataques exigem equipes em tempo integral para manter uma presença oculta na rede alvo.
• APTs não são ataques do tipo bater e fugir. Depois que os hackers acessam uma rede, seu objetivo é permanecer dentro dela pelo maior tempo possível.
• Um APT é principalmente um ataque manual que não depende de automação.
• As APTs não são uma ameaça para um grande conjunto de alvos. Os ataques perseguem uma empresa específica, portanto cada violação possui um plano personalizado que se adapta apenas às defesas do alvo.

Um ataque APT requer muito esforço e recursos. Os hackers normalmente perseguem alvos de alto valor, como empresas e corporações. No entanto, os atacantes APT frequentemente têm como alvo pequenas empresas na cadeia de abastecimento de organizações maiores.

Os hackers usam empresas menos protegidas como ponto de entrada, portanto, empresas de todos os tamanhos devem saber como reconhecer um ataque APT.

Qual é o objetivo principal de um ataque APT?

O objetivo de um ataque APT é invadir a rede sem alarmar o sistema e passar tempo suficiente lá dentro para roubar dados. Todos os dados valiosos são um alvo potencial para uma APT, incluindo:

• Propriedade intelectual.
• Informações de identificação do usuário.
• Dados classificados.
• Dados de infraestrutura.
• Credenciais de acesso.
• Comunicações sensíveis.

Além de roubar dados, o objetivo de uma APT também pode incluir sabotar a infraestrutura, destruir sistemas individuais ou concluir o controle de sites. Cada ataque tem um propósito único, mas o objetivo é sempre uma combinação de violação de dados, espionagem cibernética e sabotagem.

Detecção de ataque APT: Quais são os sinais de um ataque APT?

Os hackers do APT usam métodos avançados para ocultar suas atividades, mas certas anomalias do sistema podem indicar que um ataque está em andamento.

Logins inesperados

Credenciais de login roubadas são uma das principais maneiras pelas quais os invasores do APT obtêm acesso à rede. Logins frequentes em servidores em horários estranhos podem indicar um ataque APT em andamento. Os hackers podem estar trabalhando em um fuso horário diferente ou operando à noite para diminuir a chance de detecção.

Um aumento nos cavalos de Tróia backdoor

Se as ferramentas detectarem mais trojans backdoor do que o normal, um ataque APT poderá ser a causa. Os invasores APT usam Trojans backdoor para garantir acesso contínuo caso as credenciais de login sejam alteradas.

E-mails de Spear Phishing

E-mails de spearphishing são um sinal claro de um possível APT. Os hackers podem estar enviando esses e-mails para funcionários da alta administração na esperança de obter dados restritos.

Pacotes de dados

Os invasores APT geralmente copiam e armazenam os dados que desejam roubar em outro local da rede. Uma vez isolados e agrupados, os arquivos são um alvo de transferência mais fácil.

Os invasores colocam pacotes em locais onde a equipe normalmente não armazena dados. Procure e inspecione regularmente quaisquer arquivos de dados perdidos ou incomuns.

Atividade estranha de banco de dados

Atividade estranha no banco de dados pode ser um indicador de APT. Fique atento a aumentos repentinos nas operações de banco de dados que envolvem grandes volumes de dados.

Comportamento suspeito de contas de administrador

Anote qualquer alteração no comportamento das contas de administrador. Os hackers do APT dependem de direitos de administrador para se moverem lateralmente pela rede e infectar superfícies maiores. A criação de novas contas com pais estranhos também é um sinal de um potencial APT.

Ciclo de vida do ataque APT: os 4 estágios de um ataque APT

Um ataque APT envolve múltiplas fases e uma variedade de técnicas de ataque. Um ataque típico tem quatro estágios: planejamento, infiltração, expansão e execução.

Etapa 1: Planejamento

Cada projeto APT requer um plano personalizado sobre como vencer os sistemas de proteção do alvo. Os hackers devem realizar as seguintes etapas durante a fase de planejamento:

• Defina o alvo e o objetivo da operação.
• Identifique as habilidades necessárias e contrate membros da equipe.
• Encontre (ou crie) as ferramentas certas para o trabalho.
• Aprenda sobre a arquitetura de destino, controles de acesso e todas as soluções de hardware e software.
• Defina a melhor forma de projetar o ataque.

Depois de reunir todas as informações, os invasores implantam uma versão pequena do software. Este programa de reconhecimento ajuda a testar alarmes e identificar pontos fracos do sistema.

Estágio 2: Infiltração

O invasor obtém acesso à rede. A infiltração normalmente ocorre através de uma das três superfícies de ataque:

• Ativos da web.
• Recursos de rede.
• Usuários humanos autorizados.

Para obter acesso inicial, os hackers do APT usam vários métodos de ataque, incluindo:

• Explorações avançadas de vulnerabilidades de dia zero.
• Técnicas de engenharia social.
• Spearphishing de alto alvo.
• Inclusão remota de arquivos (RFI).
• Injeções RFI ou SQL.
• Scripting entre sites (XSS).
• Infecção física por malware.
• A exploração de pontos fracos do aplicativo (especialmente bugs de dia zero).
• Tunelamento do Sistema de Nomes de Domínio (DNS).

Uma tática comum durante a infiltração é lançar um ataque DDoS simultâneo. O DDoS distrai a equipe e enfraquece o perímetro, facilitando a violação da rede.

Depois de obterem o acesso inicial, os invasores instalam rapidamente um malware backdoor que concede acesso à rede e permite operações remotas.

Etapa 3: Expansão

Depois de estabelecerem uma posição segura, os invasores expandem sua presença na rede. A expansão envolve subir na hierarquia de usuários e comprometer o acesso dos funcionários a dados valiosos. Ataques de força bruta são uma tática comum durante esse estágio.

O malware é fundamental para o APT, pois permite que hackers mantenham o acesso sem detecção. O malware ajuda o invasor a:

• Esconda-se dos controles do sistema.
• Navegue entre segmentos de rede.
• Reúna dados confidenciais.
• Monitore a atividade da rede.
• Detecte novos pontos de entrada caso os existentes se tornem inacessíveis.

Nesta fase, o invasor tem acesso confiável e de longo prazo à rede. Os controles de segurança desconhecem o perigo e o invasor pode começar a completar o objetivo do ataque. Se o objetivo é roubar dados, os invasores armazenam informações em pacotes e as ocultam em uma parte da rede com pouco ou nenhum tráfego.

Etapa 4: Execução

Depois de coletar dados suficientes, os ladrões tentam extrair as informações. Uma tática típica de extração é usar ruído branco para distrair a equipe de segurança. A transferência de dados acontece enquanto o pessoal da rede e as defesas do sistema estão ocupados.

As equipes APT normalmente tentam concluir a extração sem revelar sua presença. Os invasores geralmente deixam um backdoor depois de saírem do sistema com o objetivo de acessá-lo novamente no futuro.

Se o objetivo do ataque APT é sabotar um sistema, a fase de execução funciona de forma diferente. Os hackers ganham sutilmente o controle de funções críticas e as manipulam para causar danos. Por exemplo, os invasores podem destruir bancos de dados inteiros e interromper as comunicações para evitar serviços de recuperação de desastres.

Novamente, o objetivo é causar danos sem que a equipe de segurança descubra os invasores. Esta abordagem furtiva permite ataques repetidos.

Como prevenir um ataque APT

Medidas de segurança padrão, como programas antivírus, não podem proteger eficazmente uma empresa contra um ataque APT. A detecção e proteção de APT exigem diversas táticas de defesa e colaboração entre administradores de rede, equipes de segurança e todos os usuários.

Monitore o tráfego

Monitorar o tráfego é fundamental para:

• Impedindo configurações de backdoor.
• Bloqueio de extração de dados roubados.
• Identificação de usuários suspeitos.

Examinar o tráfego dentro e fora do perímetro da rede ajuda a detectar qualquer comportamento incomum. Um firewall de aplicativo web (WAF) na borda da rede deve filtrar todo o tráfego para os servidores. Um WAF evita ataques na camada de aplicação, como injeções de RFI e SQL, dois ataques comuns na fase de infiltração do APT.

O monitoramento do tráfego interno também é vital. Os firewalls de rede oferecem uma visão geral das interações do usuário e ajudam a identificar logins irregulares ou transferências de dados estranhas. O monitoramento interno também permite que uma empresa monitore compartilhamentos de arquivos e honeypots do sistema enquanto detecta e remove shells de backdoor.

Lista de permissões de domínios e aplicativos

A lista de permissões é um método de controlar quais domínios e aplicativos são acessíveis em uma rede. A lista de permissões reduz a taxa de sucesso do APT, minimizando o número de superfícies de ataque.

Para que a lista de permissões funcione, uma equipe deve selecionar cuidadosamente domínios e aplicativos aceitáveis. Políticas de atualização rigorosas também são necessárias, pois você deve garantir que os usuários estejam sempre executando a versão mais recente de todos os aplicativos.

Estabeleça controles de acesso rígidos

Os funcionários normalmente são o ponto mais vulnerável em um perímetro de segurança. Os intrusos APT muitas vezes tentam transformar os funcionários em uma porta de entrada fácil para contornar as defesas.

O melhor método para proteger uma empresa contra pessoas internas maliciosas é confiar na política Zero Trust. A segurança Zero Trust limita os níveis de acesso de cada conta, concedendo acesso apenas aos recursos que um usuário precisa para realizar o trabalho.

Em um ambiente Zero Trust, uma conta comprometida limita a capacidade do invasor de se mover pela rede.

Outra medida de segurança útil é usar a autenticação de dois fatores (2FA). O 2FA exige que os usuários forneçam uma segunda forma de verificação ao acessar áreas sensíveis da rede. Uma camada adicional de segurança em cada recurso retarda a movimentação dos invasores pelo sistema.

Mantenha os patches de segurança atualizados

Manter os patches atualizados é vital para prevenir um ataque APT. Garantir que o software de rede tenha as atualizações de segurança mais recentes reduz a chance de pontos fracos e problemas de compatibilidade.

Evite tentativas de phishing

As fraudes de phishing são um ponto de entrada comum para um ataque APT. Treine os funcionários para reconhecer tentativas de phishing e ensine-os o que fazer quando encontrarem uma.

A filtragem de e-mail ajuda a prevenir a taxa de sucesso de ataques de phishing. Filtrar e bloquear links ou anexos maliciosos em e-mails impede tentativas de invasão.

Execute verificações regulares de backdoors

Os hackers do APT deixam backdoors na rede depois de obterem acesso ilegal. Procurar e remover backdoors é um método eficaz para interromper tentativas atuais de APT e prevenir futuras.

Os especialistas sugerem procurar:

• Shells de comando (WMI, CMD e PowerShell) que estabelecem conexões de rede.
• Servidor remoto ou ferramentas de administração de rede em sistemas não administrativos.
• Documentos do Microsoft Office, incidentes Flash ou Java que invocam novos processos ou geram shells de comando.

Lembre-se de verificar os dispositivos endpoint em busca de backdoors e outros malwares. Os ataques APT geralmente envolvem o controle de um dispositivo endpoint, portanto, detectar e responder a um comprometimento é uma prioridade.

Conheça a gravidade dos APTs e esteja pronto para um ataque

As consequências de um ataque APT podem ser extremas. A perda de dados e de reputação é quase uma garantia, por isso faça tudo o que estiver ao seu alcance para evitar um ataque. Felizmente, agora você sabe o que é um APT e como reconhecê-lo, então está pronto para reforçar e proteger suas cargas de trabalho.

Saiba mais sobre a cyber kill chain que pode ajudá-lo a compreender e prever os diferentes estágios de um ataque cibernético. Saber como os hackers trabalham permite que uma empresa selecione as ferramentas e estratégias certas para limitar violações, responder a ataques em andamento e minimizar riscos.