amenaza persistente avanzada

Una amenaza persistente avanzada ( APT ) es una amenaza de ciberseguridad sigilosa, generalmente manipulada por un Estado o un grupo patrocinado por un Estado, que obtiene acceso no autorizado a una red informática y permanece sin ser detectada durante un período prolongado. ^{[ 1 ] [ 2 ]} En los últimos tiempos, el término también puede referirse a grupos no patrocinados por un Estado que realizan intrusiones dirigidas a gran escala con objetivos específicos. ^{[ 3 ]}

Las motivaciones de estos actores de amenazas suelen ser políticas o económicas. ^{[ 4 ]} Todos los sectores empresariales importantes han registrado casos de ciberataques por parte de actores avanzados con objetivos específicos, ya sea robar, espiar o interrumpir. Estos sectores objetivo incluyen gobierno, defensa , servicios financieros , servicios legales , industria , telecomunicaciones , bienes de consumo y muchos más. ^{[ 5 ] [ 6 ] [ 7 ]} Algunos grupos utilizan vectores de espionaje tradicionales , incluyendo ingeniería social , inteligencia humana e infiltración para obtener acceso a una ubicación física y permitir ataques a la red. El propósito de estos ataques es instalar malware personalizado . ^{[ 8 ]}

Los ataques APT en dispositivos móviles también se han convertido en una preocupación legítima, ya que los atacantes pueden penetrar en la infraestructura móvil y en la nube para interceptar, robar y manipular datos. ^{[ 9 ]}

El tiempo medio de permanencia, es decir, el tiempo que un ataque APT pasa desapercibido, varía considerablemente entre regiones. FireEye informó que el tiempo medio de permanencia en 2018 fue de 71 días en América , 177 días en EMEA y 204 días en APAC . ^{[ 5 ]} Un tiempo de permanencia tan prolongado permite a los atacantes disponer de tiempo suficiente para completar el ciclo de ataque, propagarse y alcanzar sus objetivos.

Las definiciones de lo que es exactamente un APT pueden variar, pero se pueden resumir en los requisitos que se detallan a continuación:

• Avanzado  : Los operadores detrás de la amenaza tienen a su disposición un amplio abanico de técnicas de recopilación de inteligencia. Estas pueden incluir tecnologías y técnicas de intrusión informática comerciales y de código abierto, pero también pueden extenderse al aparato de inteligencia de un Estado. Si bien los componentes individuales del ataque pueden no considerarse particularmente "avanzados" (por ejemplo, componentes de malware generados a partir de kits de construcción de malware de fácil acceso o el uso de materiales de explotación fácilmente obtenibles), sus operadores suelen tener acceso a herramientas más avanzadas y pueden desarrollarlas según sea necesario. A menudo combinan múltiples métodos, herramientas y técnicas de ataque para alcanzar y comprometer su objetivo y mantener el acceso al mismo. Los operadores también pueden demostrar un enfoque deliberado en la seguridad operativa que los diferencia de las amenazas "menos avanzadas". ^{[ 3 ] [ 10 ] [ 11 ]}
• Persistente  : Los operadores tienen objetivos específicos, en lugar de buscar información de forma oportunista para obtener beneficios económicos o de otro tipo. Esta distinción implica que los atacantes son guiados por entidades externas. El ataque se lleva a cabo mediante la monitorización e interacción continuas para lograr los objetivos definidos. No significa un bombardeo constante de ataques y actualizaciones de malware. De hecho, un enfoque gradual y sigiloso suele ser más eficaz. Si el operador pierde el acceso a su objetivo, normalmente volverá a intentarlo y, en la mayoría de los casos, lo conseguirá. Uno de los objetivos del operador es mantener el acceso a largo plazo al objetivo, a diferencia de las amenazas que solo necesitan acceso para ejecutar una tarea específica. ^{[ 10 ] [ 12 ]}
• Amenaza  : Las APT representan una amenaza porque poseen tanto capacidad como intención. Los ataques APT se ejecutan mediante acciones humanas coordinadas, en lugar de mediante código automatizado y sin sentido. Los operadores tienen un objetivo específico y son hábiles, están motivados, organizados y cuentan con financiación suficiente. Los actores no se limitan a grupos patrocinados por estados. ^{[ 3 ] [ 10 ]}

En 2005, organizaciones CERT del Reino Unido y Estados Unidos publicaron advertencias sobre correos electrónicos dirigidos y manipulados socialmente que instalaban troyanos para extraer información confidencial . Este método se utilizó a principios de la década de 1990 y, por sí solo, no constituye una APT. Se ha citado el término "amenaza persistente avanzada" como originario de la Fuerza Aérea de los Estados Unidos en 2006 ^{[ 13 ]} , atribuyéndose al coronel Greg Rattray su creación. ^{[ 14 ]}

El gusano informático Stuxnet , que atacó el hardware informático del programa nuclear iraní , es un ejemplo de ataque APT. En este caso, el gobierno iraní podría considerar a los creadores de Stuxnet como una amenaza persistente avanzada. ^{[ 15 ]}

Dentro de la comunidad de seguridad informática , y cada vez más en los medios de comunicación, el término se utiliza casi siempre en referencia a un patrón a largo plazo de explotación sofisticada de redes informáticas dirigida a gobiernos, empresas y activistas políticos, y por extensión, también para atribuir los atributos A, P y T a los grupos detrás de estos ataques. ^{[ 16 ]} El término amenaza persistente avanzada (APT) puede estar cambiando su enfoque hacia el pirateo informático debido al creciente número de incidentes. PC World informó de un aumento del 81 por ciento entre 2010 y 2011 de ataques informáticos dirigidos particularmente avanzados. ^{[ 17 ]}

Actores de muchos países han utilizado el ciberespacio como medio para recopilar información de inteligencia sobre individuos y grupos de individuos de interés. ^{[ 18 ] [ 19 ] [ 20 ]} El Comando Cibernético de los Estados Unidos tiene la tarea de coordinar las operaciones cibernéticas ofensivas y defensivas del ejército estadounidense . ^{[ 21 ]}

Numerosas fuentes han alegado que algunos grupos APT están afiliados a, o son agentes de, gobiernos de estados soberanos . ^{[ 22 ] [ 23 ] [ 24 ]} Las empresas que manejan una gran cantidad de información de identificación personal corren un alto riesgo de ser blanco de amenazas persistentes avanzadas, incluyendo: ^{[ 25 ]}

• Agricultura ^{[ 26 ]}
• Energía
• instituciones financieras
• Cuidado de la salud
• Educación superior ^{[ 27 ]}
• Fabricación
• Tecnología
• Telecomunicaciones
• Transporte

Un estudio de Bell Canada realizó una investigación exhaustiva sobre la anatomía de los APT y reveló su amplia presencia en el gobierno canadiense y en infraestructuras críticas. Se estableció la atribución a actores chinos y rusos. ^{[ 28 ]}

Los actores detrás de las amenazas persistentes avanzadas crean un riesgo creciente y cambiante para los activos financieros, la propiedad intelectual y la reputación de las organizaciones ^{[ 29 ]} al seguir un proceso continuo o cadena de ataque :

1. Dirigirse a organizaciones específicas para un objetivo singular.
2. Intentar afianzarse en el entorno (las tácticas comunes incluyen correos electrónicos de spear phishing ).
3. Utilice los sistemas comprometidos como acceso a la red objetivo.
4. Despliegue herramientas adicionales que ayuden a cumplir el objetivo del ataque.
5. Cubrir las vías para mantener el acceso para futuras iniciativas.

En 2013, Mandiant presentó los resultados de su investigación sobre supuestos ataques chinos que utilizaron el método APT entre 2004 y 2013 ^{[ 30 ]} que siguieron un ciclo de vida similar:

• Compromiso inicial : realizado mediante ingeniería social y spear phishing , por correo electrónico, utilizando virus de día cero . Otro método de infección popular fue la instalación de malware en un sitio web que probablemente visiten los empleados de la víctima. ^{[ 31 ]} 
• Establecer una base de operaciones : instalar software de administración remota en la red de la víctima, crear puertas traseras y túneles que permitan el acceso sigiloso a su infraestructura. 
• Escalar privilegios : utilizar exploits y descifrado de contraseñas para obtener privilegios de administrador sobre el ordenador de la víctima y, posiblemente, ampliarlos a cuentas de administrador de dominio de Windows . 
• Reconocimiento interno : recopilar información sobre la infraestructura circundante, las relaciones de confianza y la estructura del dominio de Windows . 
• Muévase lateralmente : amplíe el control a otras estaciones de trabajo, servidores y elementos de infraestructura, y realice la recopilación de datos en ellos. 
• Mantener la presencia : garantizar el control continuo sobre los canales de acceso y las credenciales adquiridas en los pasos anteriores. 
• Misión completada : extraer los datos robados de la red de la víctima. 

En los incidentes analizados por Mandiant, el período promedio durante el cual los atacantes controlaron la red de la víctima fue de un año, con un máximo de  casi cinco años. ^{[ 30 ]} Se alega que las infiltraciones fueron realizadas por la Unidad 61398 del Ejército Popular de Liberación, con sede en Shanghái . Funcionarios chinos han negado cualquier implicación en estos ataques. ^{[ 32 ]}

Informes anteriores de Secdev ya habían descubierto e implicado a actores chinos. ^{[ 33 ]}

Hay decenas de millones de variaciones de malware, ^{[ 34 ]} lo que hace que sea extremadamente difícil proteger a las organizaciones de APT. Si bien las actividades de APT son sigilosas y difíciles de detectar, el tráfico de red de comando y control asociado con APT puede detectarse a nivel de capa de red con métodos sofisticados. Los análisis profundos de registros y la correlación de registros de varias fuentes tienen una utilidad limitada para detectar actividades de APT. Es difícil separar el ruido del tráfico legítimo. La tecnología y los métodos de seguridad tradicionales han sido ineficaces para detectar o mitigar APT. ^{[ 35 ]} La defensa cibernética activa ha demostrado una mayor eficacia en la detección y el enjuiciamiento de APT (encontrar, corregir, finalizar) cuando se aplica inteligencia de amenazas cibernéticas a las actividades de búsqueda y persecución de adversarios. ^{[ 36 ] [ 37 ]} Las vulnerabilidades cibernéticas introducidas por humanos (HICV) son un eslabón débil cibernético que no se comprende ni se mitiga bien, lo que constituye un vector de ataque significativo. ^{[ 38 ]}

Varias organizaciones pueden asignar nombres diferentes al mismo actor. Dado que distintos investigadores pueden tener evaluaciones diferentes de un grupo APT, empresas como CrowdStrike , Kaspersky , Mandiant y Microsoft , entre otras, tienen sus propios esquemas de nomenclatura internos. ^{[ 100 ]} Los nombres utilizados por diferentes organizaciones pueden referirse a grupos superpuestos pero, en última instancia, distintos, según los diversos datos recopilados.

CrowdStrike asigna animales según el estado nación u otra categoría, como "Gatito" para Irán y "Araña" para grupos centrados en el cibercrimen. ^{[ 101 ]} Otras empresas han nombrado grupos basándose en este sistema ; por ejemplo, Check Point nombró a Rampant Kitten, sino CrowdStrike. ^{[ 102 ]}

Dragos basa los nombres de sus grupos APT en minerales. ^{[ 100 ]}

Mandiant asigna acrónimos numerados en tres categorías: APT, FIN y UNC, lo que da como resultado nombres APT como FIN7 . Otras empresas que utilizan un sistema similar incluyen Proofpoint (TA) e IBM (ITG y Hive). ^{[ 100 ]}

Microsoft solía asignar nombres de la tabla periódica , a menudo estilizados en mayúsculas (por ejemplo, POTASIO ); en abril de 2023, Microsoft cambió su esquema de nombres para usar nombres basados ​​en el clima (por ejemplo, Voltio Tifón). ^{[ 103 ]}

Listas de grupos APT

• Mandiant: Grupos de Amenazas Persistentes Avanzadas
• La comunidad de seguridad MITRE ATT&CK realizó un seguimiento de las páginas de grupo persistentes avanzadas.