Ameaça persistente avançada

O anglicismo Cyber APT é um acrônimo para Advanced Persistent Threat, que em uma tradução livre do inglês significa Ameaça Persistente Avançada. Essa expressão é comumente usada para se referir a ameaças cibernéticas, em particular a prática de espionagem via internet por intermédio de uma variedade de técnicas de coleta de informações que são consideradas valiosas o suficiente para que o agente espião despenda tempo e recursos para obtê-las.

Mesmo quando tem a intenção de acessar ou atacar um alvo específico, um cracker geralmente não é considerado o possível autor de um ataque APT, pois isoladamente um indivíduo raramente dispõe dos recursos necessários à execução de um ataque desses.

Ataques APT são direcionados (targeted attacks). Esses ataques utilizam uma grande variedade de técnicas, inclusive drive-by download, injeção de SQL (SQL injection), malwares, spywares, phishing e spam, apenas para citar alguns exemplos. Esses ataques podem simultaneamente usar (e frequentemente usam) mais de uma técnica. Embora ataques APT sejam sempre direcionados, nem todo ataque direcionado é do tipo APT.

Características da APT

Por que é avançada

Os agentes por trás desses ataques dispõem de um amplo espectro de técnicas de coleta de inteligência (informações sensíveis). Isso pode incluir tecnologias e técnicas de invasão de computadores, além de se estender às técnicas convencionais de coleta de inteligência, tais como interceptação de telefonemas e levantamento de imagens via satélite. Embora componentes individuais do ataque possam não ser particularmente classificados como "avançados" — como por exemplo malwares criados a partir de pequenos kits "faça você mesmo" ou o uso de materiais que facilitem a exploração de vulnerabilidades convencionais (exploits) — os agentes geralmente conseguem acessar e desenvolver ferramentas cada vez mais complexas, à medida em que isso se torna necessário. Eles frequentemente combinam múltiplas técnicas, ferramentas e métodos de ataque, de modo a alcançar e comprometer seus alvos, além de garantir e preservar o acesso a eles. Os agentes também podem apresentar um grande foco em segurança operacional que os diferencia das ameaças menos avançadas.

As técnicas utilizadas pelos agentes nem sempre são bem conhecidas e normalmente incluem o uso de 0-day exploits e malwares dedicados especificamente ao ataque. Um exemplo são os ataques do Hidden Lynx Group na campanha VOHO (o maior ataque Watering-Hole já conhecido), em que ao menos 10 websites legítimos foram comprometidos com múltiplos 0-day exploits e backdoors.^{[carece de fontes]}

Ataques APT são complexos: os agentes do ataque podem controlar um grande número de servidores comprometidos para diferentes finalidades, de modo que diferentes partes da infraestrutura-alvo sejam utilizadas em cada uma das fase do ataque. Sistemas distintos podem ser usados para reconhecimentos e testes, outros podem ser usados para exploração de vulnerabilidades e elevação de privilégios (obtenção de credenciais que dão acesso a mais informações e a outros recursos, ou a informações e recursos mais sensíveis), e ainda outros podem ser usados para compactação, criptografia e envio dos dados, o que dificulta a detecção do ataque.^{[carece de fontes]}

Por que é persistente

Os agentes priorizam uma tarefa específica, ao invés de agir de maneira oportunista em busca de informações que possibilitem ganho financeiro ou algum outro tipo de ganho. Essa distinção significa que os agentes do ataque são guiados por organizações externas. O direcionamento do ataque persistente é conduzido por uma interação e um monitoramento contínuo, até que se alcance o objetivo que foi predefinido. Isso não significa que os agentes ficarão o tempo todo tentando realizar grandes ataques e injeção de malwares mais novos: na verdade, os ataques mais lentos e em menor escala geralmente obtêm mais sucesso. Se o agente perde acesso ao seu alvo, ele geralmente irá simplesmente tentar obter acesso novamente — e muito frequentemente conseguirá. Diferentemente das ameaças que necessitam acessar o sistema apenas por um breve período, um dos principais objetivos do agente desse tipo de ataque é obter um acesso de longa duração.

Um exemplo de persistência é o caso dos ataques APT conduzidos pelo governo chinês e as investigações conduzidas pela empresa de segurança Mandiant: a primeira vez em que a Mandiant publicou detalhes a respeito dos APT foi num relatório de janeiro de 2010 intitulado "M-Trends". Nesse relatório, a Mandiant afirmou que o governo chinês poderia estar autorizando ou mesmo financiando esse tipo de atividade, porém na época a Mandiant ainda não tinha como determinar a extensão disso. No entanto, em 2013 a Mandiant publicou um novo relatório, dessa vez apresentando as evidências necessárias para respaldar a suspeita inicial. Os detalhes analisados pelos profissionais da Mandiant ao longo de centenas de investigações convenceram a empresa de que o grupo que está conduzindo tais atividades está situado principalmente na China e que o governo chinês tem conhecimento dele. Esse grupo foi batizado de "APT1" e as evidências levantadas pela Mandiant sinalizam que pelo menos desde 2006 o APT1 já subtraiu centenas de terabytes de dados de pelo menos 141 organizações de diversos segmentos da indústria.

Por que é uma ameaça

As APT são uma ameaça porque elas têm a intenção e a capacidade de ser uma ameaça. Ataques APT são executados por ações humanas coordenadas, ao invés de serem executadas por meras peças de software automatizado, que é incapaz de responder inteligentemente a situações novas ou inesperadas. Os agentes humanos possuem um objetivo específico e são inteligentes, capacitados, motivados, organizados e bem financiados.

Exemplos de ameaças que podem ser consideradas APT:

• Stuxnet: desenvolvido e disseminado por Estados Unidos e Israel, o worm Stuxnet foi projetado para atuar em um ciberataque contra o Irão. O objetivo foi dificultar ou se possível impedir que o Irão produzisse armas nucleares, por isso foi direcionado à usina nuclear iraniana de Natanz. Esse ataque, somado ao ataque do Flame, pode ser considerado como o começo de uma possível guerra cibernética.
• Os ataques à rede da Lockheed Martin, executados com o uso de certificados subtraídos da RSA em 2011. Os invasores conseguiram acesso inicial enganando um usuário interno, que abriu uma planilha anexada a um e-mail que explorava uma vulnerabilidade do Adobe Flash. A partir daí, os invasores obtiveram mais privilégios de acesso, instalaram backdoors e obtiveram controle de mais recursos. Posteriormente, eles conseguiram obter acesso aos tokens de autenticação conhecidos como SecurID.
• Operação Aurora: um ataque APT direcionado a inúmeras grandes empresas, tais como Google, Adobe, Rackspace e Juniper Networks. Os relatórios divulgados pela imprensa sugerem que muitas outras empresas estavam na mira, inclusive Yahoo!, Northrop Grumman, Morgan Stanley, Symantec e Dow Chemical. Acredita-se que o governo chinês tenha direcionado os ataques como parte de uma campanha coordenada de larga escala contra os Estados Unidos e outros países ocidentais.

Anatomia de um ataque APT

Alguns elementos constitutivos de um ataque APT:

• Planejamento: ataques APT podem requerer um longo período de preparação. Em alguns casos essa preparação pode levar vários anos. É o caso de alguns dos ataques conduzidos contra a infraestrutura de informações críticas e os mais secretos recursos de um determinado governo.
• Engenharia social: de maneira geral, a missão mais crítica dos agentes de um ataque APT consiste em quebrar o principal parâmetro de segurança. Como muitos exemplos passados demonstram, essa é a parte em que o ataque geralmente é voltado contra alguma pessoa, ao invés de contra alguma tecnologia. O exemplo mais comum está nos anexos dos e-mails: a única diferença é que nos ataques APT o invasor geralmente direciona as informações de modo a fazê-las parecer confiáveis. Isso facilita o ataque e significa também que é conduzida uma investigação preliminar a respeito da vítima. Essa investigação permite ao agente do ataque identificar os funcionários que são os melhores candidatos para servir de alvo. Tais funcionários geralmente são, por um lado, tecnicamente pouco avançados (possuem poucos conhecimentos tecnológicos) e por isto têm relativamente poucos conhecimentos relacionados à segurança contra ataques de TI, mas por outro lado possuem acesso a certas informações e possuem credenciais para obter acesso a informações mais sensíveis (eles podem inclusive ser os detentores de tais informações).
• Aprofundamento da invasão: o agente utiliza o ambiente comprometido para explorar mais vulnerabilidades e consequentemente obter mais informações e desvendar mais vulnerabilidades. Em outras palavras: uma vez que o agente tenha conseguido acessar o computador e as credenciais da vítima, ele passa a explorar outros recursos informativos e a coletar informações que poderão ser usadas seja para obter acesso direto não-autorizado a informações sensíveis, seja para conseguir acessar informações que requerem nível de permissão ainda mais elevado, dentro da rede organizacional interna.

Ligações externas

• Advanced Threat Resource Center (em inglês). O Centro de Recursos para Ameaças Avançadas (Advanced Threat Resource Center) é uma página da Dell SecureWorks que oferece informações e materiais didáticos referentes ao tema das ameaças avançadas. Visitado em 16 de junho de 2014..