Перейти к содержанию
rkhunter

Грэг Хоглунд об истинном значении APT

Recommended Posts

rkhunter

Тех. дир. HBGary и основатель ныне покойного rootkit.com об APT

‘Advanced Persistent Threat’ has become a marketing term used by many in the security industry to describe targeted attacks. Originally, the term was invented by the military to describe foreign-intelligence / state-sponsored attacks on the United States. Since then, the term has been abused and contorted to a variety of definitions. HBGary and a couple of other companies have tried to maintain a clear definition that APT is about human adversaries, and not about specific malware or botnet programs. In fact, HBGary has spent a great deal of time and resource tracking the adversaries behind various ‘APT’ intrusions and what we found out is enlightening. It turns out that the adversaries behind most ‘APT’ attacks are actually run-of-the-mill hackers, just like the hackers who are traditionally associated with e-Crime groups. It is true that they target intellectual property, but they also run botnets, sell stolen or counterfeit goods, commit banking fraud, and steal online gaming accounts. They use the same hacker-tools that are commonplace amongst hackers, regardless of intent. In other words, there is no ‘special’ APT sauce. For example, one of the more prolific APT groups centers around a criminal hacker in China who not only steals intellectual property from defense contractors, but also participates in a variety of mundane e-scams. While investigating a separate group, HBGary managed to image the hard drive of a command-and-control server and found not just stolen intellectual property, but also custom programs designed to steal the usernames and passwords of a popular online MMO game. And in another case, the hacker behind a very targeted APT attack also appeared to be deeply involved in banking fraud. What is lesson here? While APT attackers might be selling stolen IP to the state of China, they are just hackers like all the other criminal hackers.

http://hbgary.com/greg-hoglund-blog

  • Upvote 5

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Valery Ledovskoy
‘Advanced Persistent Threat’ has become a marketing term

Отож.

Originally, the term was invented by the military to describe foreign-intelligence / state-sponsored attacks on the United States

Ага.

What is lesson here? While APT attackers might be selling stolen IP to the state of China, they are just hackers like all the other criminal hackers.

В общем, когда хочется APT можно become'ить его во что угодно :)

  • Upvote 5

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
rkhunter

Угу, как это обычно и бывает термин пошел от военных.

Правда интерпретация от самого Хоглунда выглядит весьма серьезно и убедительно.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
A.

Возможно я пропустил, но как сам Грэг классифицирует прошлогодний взлом его HBGary - как APT или так, фигня на палочке ? :)

  • Upvote 5

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Сергей Ильин

Логично написано, в том числе и про маркетинговый термин. Но не стоит тут искать негативные конотации у слова "маркетинговый". Про целевые или таргетированные атаки говорили давным давно. Кого это зацепило? Да никого ровным счетом. Сейчас же когда пошли действительно серьезные атаки, многие из которых были детально препарированы, была явная потребность в новом термине. Он как бы подводит черту и дает возможность говорить о новом уровне угроз и это понятно клиентам.

С тем же успехом можно вообще говорить, что с 2005 года ничего не изменилось. Как писали вредоносные программы, заражали людей, ломали сайты и сети, шантажировали, вымогали и т.п., так этим и занимаются. Принципиально ничего нового. Малек подросла квалификация злоумышленников ну и масштабы злодеяний.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
A.
Логично написано, в том числе и про маркетинговый термин. Но не стоит тут искать негативные конотации у слова "маркетинговый".

А какие еще "конотации" можно искать у этого термина ? Это ведь именно маркетологи, пихают его куда ни попадя, выдавая за APT - совсем другие вещи. В результате возникает конгитивный диссонанс, термин APT _вслед_за_ маркетоидами, начинают трактовать как кому угодно, уже и "эксперты" - просто тупо пытаясь расширить его определение и подвести под него все что угодно. Не адвансед, не перситент - пофиг, лишь бы модное словечко прицепить. И даже оправдания придумывают - почему не адвансед все равно можно считать адвансед и почему не персистент - он на самом деле персистент.

Запомните уже наконец - таргетированная атака != APT.

Точно так же как руткит != malware.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Mr. Justice
Запомните уже наконец - таргетированная атака != APT.

Точно так же как руткит != malware.

Мне, лично, не совсем понятно. Руткит правильно классифицировать как разновидность malware, а не как его синоним. Верно?

Алекс, расскажи в двух словах (если это, конечно, возможно) как все-таки следует понимать термин APT

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
_Stout
Запомните уже наконец - таргетированная атака != APT.

Я бы сказал, что любая АРТ есть таргетированная атака, но не наоборот.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
A.
Мне, лично, не совсем понятно. Руткит правильно классифицировать как разновидность malware, а не как его синоним. Верно?

Не верно. Руткит - это технология, конечной целью которой, является скрытие чего либо в системе (кода, активности (в том числе человеческой), данных). Как правило, скрывается именно malware, да. Но сама по себе технология руткита не является вредоносной.

Иначе бы, тот человек, чью цитату мы в этом топике обсуждаем, по идее, должен бы не компании возглавлять, а в тюрьме сидеть - за создание первого в истории руткита для Win.

Алекс, расскажи в двух словах (если это, конечно, возможно) как все-таки следует понимать термин APT

В двух словах ? Ок:

Забудьте его.

Так будет правильней, чем пытаться переучить толпы идиотов.

Очередной пример вот только что увидел:

http://amatrosov.blogspot.com/2012/06/acadmedre.html

Замечательных тэгов к этому посту нахреначил г-н Матросов - тут тебе и APT и даже Cyberwar. Между Перу и Китаем, очевидно.

Pezdek :facepalm:

  • Upvote 5

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
rkhunter
С тем же успехом можно вообще говорить, что с 2005 года ничего не изменилось. Как писали вредоносные программы, заражали людей, ломали сайты и сети, шантажировали, вымогали и т.п., так этим и занимаются. Принципиально ничего нового. Малек подросла квалификация злоумышленников ну и масштабы злодеяний.

Ok.

1. Появилась руткит-индустрия.

2. Количество малвари стало расти экспоненц. темпами. Т. е. к категории "качество" добавилось "количество", с огромным перевесом в сторону "количество".

3. Как следствие 2-го появилась AV-индустрия, аверы стали ориентироваться не на конкретную малварь, а на фидбек собственных юзеров. Соответственно, произошло расслоение вендоров по типу "выживает сильнейший".

4. Кибер-пространство стало принадлежать малвари, а не АВерам, которые пытаются догнать VX-индустрию [но на самом деле больше рассчитывают на продажу своих продуктов].

Те кто думает до сих пор что "с 2005 года ничего не изменилось" сегодня в догоняющих.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
АМX
Не верно. Руткит - это технология, конечной целью которой, является скрытие чего либо в системе (кода, активности (в том числе человеческой), данных). Как правило, скрывается именно malware, да. Но сама по себе технология руткита не является вредоносной.

Иначе бы, тот человек, чью цитату мы в этом топике обсуждаем, по идее, должен бы не компании возглавлять, а в тюрьме сидеть - за создание первого в истории руткита для Win.

В двух словах ? Ок:

Забудьте его.

Так будет правильней, чем пытаться переучить толпы идиотов.

Очередной пример вот только что увидел:

http://amatrosov.blogspot.com/2012/06/acadmedre.html

Замечательных тэгов к этому посту нахреначил г-н Матросов - тут тебе и APT и даже Cyberwar. Между Перу и Китаем, очевидно.

Pezdek :facepalm:

Просто хваленый Касперский до сих пор не детектирует ACAD/Medre. И значит Алекс нечего не наблюдает, и семплов у него нет.

https://www.virustotal.com/file/0ba417b1d4b...d531a/analysis/

:P:D:)

Кстати последняя версия Win32/Sirefef это тоже malware - rootkit.

http://kltest.org.ru/viewtopic.php?f=19&am...&start=4640

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Сергей Ильин
http://amatrosov.blogspot.com/2012/06/acadmedre.html

Замечательных тэгов к этому посту нахреначил г-н Матросов - тут тебе и APT и даже Cyberwar. Между Перу и Китаем, очевидно.

К этому посту APT явно лишний тег. В общем как Cyberwar тоже.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
alexgr

то есть НОД опередил? давайте постить все пропуски антивирусных лабораторий что ли? Я полагаю, что это вообще не показатель - пропускают ВСЕ. И в коллекции всегда найдется пара вредоносов, которые кто-то не детектит. И НОД в том числе. Тема ведь о другом!

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Mr. Justice
Не верно. Руткит - это технология, конечной целью которой, является скрытие чего либо в системе (кода, активности (в том числе человеческой), данных). Как правило, скрывается именно malware, да. Но сама по себе технология руткита не является вредоносной.

Иначе бы, тот человек, чью цитату мы в этом топике обсуждаем, по идее, должен бы не компании возглавлять, а в тюрьме сидеть - за создание первого в истории руткита для Win.

Логично, с той лишь поправкой, что rootkit - это не только технология, но и объект.

В двух словах ? Ок:

Забудьте его.

Так будет правильней, чем пытаться переучить толпы идиотов.

Очередной пример вот только что увидел:

http://amatrosov.blogspot.com/2012/06/acadmedre.html

Замечательных тэгов к этому посту нахреначил г-н Матросов - тут тебе и APT и даже Cyberwar. Между Перу и Китаем, очевидно.

Pezdek :facepalm:

Благодарю за ответ

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
rkhunter

В этой связи несколько мыслей.

Во-первых

Может ли независимый ресерчер заявить об обнаружении APT? Например, я расследую случай обнаружения [у пользователя] драйвера ("руткита") (детектируемого большинством АВеров). Одна из главных особенностей драйвера - кэширование информации передаваемой устройствами по serial порту, затем данные шифруются и отправляются на сервер. Кроме того, он может исполнять код, который будет выглядеть внешне как доверенный. При этом драйвер не выглядит подозрительно в памяти, т. е. не выполняет каких-то перехватов, которые могли бы определяться анти-руткитами. Чем не APT?

Во-вторых

Почему бы не ввести "универсальную шкалу APT", например, состоящую из 10 пунктов. По совокупности, например, семи из них угроза точно объявляется APT.

Например изначально ее уровень 0.

+4 Если угроза обнаружена на промышленном объекте

+2 Если она скрытно собирает данные о системе

+1 Если устанавливает драйвер в системе

+1 Если срок "ее жизни" у пользователя более полугода.

и т. д.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
A.
В этой связи несколько мыслей.Например, я расследую случай обнаружения [у пользователя] драйвера ("руткита") (детектируемого большинством АВеров). Одна из главных особенностей драйвера - кэширование информации передаваемой устройствами по serial порту, затем данные шифруются и отправляются на сервер. Кроме того, он может исполнять код, который будет выглядеть внешне как доверенный. При этом драйвер не выглядит подозрительно в памяти, т. е. не выполняет каких-то перехватов, которые могли бы определяться анти-руткитами. Чем не APT?

Да пусть он хоть квантовую криптографию использует. Если тебе хочется подвести его под термин APT, то ключевым пунктом тут является "жертва", а не инструмент.

+1 Если устанавливает драйвер в системе

Что за лол ? :D О чем это и зачем ?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
rkhunter
Что за лол ? :D О чем это и зачем ?

Зря вы так :(

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
A.
Зря вы так :(

чо зря-то ? с каких-то пор наличие драйвера является хоть каким-либо признаком APT ?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
rkhunter

Хе-х вот и почему так бывает? Реверсишь интересную, сложную малварь на которую пока никто не обратил пристальное внимание, а тут начинают выплывать домены пореганные на российских чуваков из стран Европы, аккаунты в твиттере, linkedin. Можно было бы сразу в блог или на krebsonsecurity, да в принципе по фиг...

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Valery Ledovskoy

Насколько я понимаю, rkhunter просто предложил некоторую модель, по которой можно было бы понять - это действительно апэтпшное апэтэ или какой-то маркетолог где-то прочитал другого маркетолога про апэтэ и решил, что это тоже можно назвать апэтэ.

A. указал на один из пунктов перечисления, но ничего, собственно, не сказал про методологию.

По его мнению, APT определяется только определением "хищника" и "жертвы".

Но не всегда, когда даже ЛК пишет про APT, достоверно известны эти две стороны.

Поэтому действительно было бы неплохо конкретизировать этот термин, попытаться определять APTion :) сэмпла, не имея на руках информации из органов, которые каким-то образом определили, откуда данный сэмпл отправлялся, кто был целью и что это за цель была.

Так же, как HIPS-компоненты в антивирусах определяют вредоносность сэмпла по действиям, без чёткой записи в базе.

Мысль здравая, в общем-то. Правда, труднореализуемая.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
OlegAndr

Пытаться сформировать устойчивые и всеобъемлющие определения для технологий которые меняются со скоростью света успехов в этом.

Алекс и говорит "забудьте ярлыки", а то будет как с вирусами или руткитами опять.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Сергей Ильин
Хе-х вот и почему так бывает? Реверсишь интересную, сложную малварь на которую пока никто не обратил пристальное внимание, а тут начинают выплывать домены пореганные на российских чуваков из стран Европы, аккаунты в твиттере, linkedin. Можно было бы сразу в блог или на krebsonsecurity, да в принципе по фиг...

Публикуй, страна должна знать своих героев. Можно делать это у нас в блогах, как вариант ;)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Valery Ledovskoy
Пытаться сформировать устойчивые и всеобъемлющие определения для технологий которые меняются со скоростью света успехов в этом.

Ну, вообще-то, те APT, которые недавно гремели и гремят, показывают, что эти сэмплы находятся на компьютерах пользователей месяцами. Так что про изменение со скоростью света - это сильно.

Кроме того, таких сэмплов пока не так много (относительно), и вряд ли будет больше, ибо если будет больше, то какое же это APT? :)

Т.е. существуют некоторые ограничения, которые позволяют некоторые общие правила создать.

А если у APT нет определения и невозможно по сэмплу сказать, APT это или нет, то что ж это тогда за термин такой и для чего?

По крайней мере, можно предполагать, APT это или нет, по некоторым признакам, присущим достоверным APT за последнее время.

Например, если видны следы одних и тех же технологий, по которым вирусные лаборатории говорят, что с большой вероятностью, вот этот новый сэмпл был сделан теми же самыми людьми.

Мне кажется, если подумать, а не сразу отметать идею, здесь вполне есть, за что зацепиться.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Сергей Ильин
А если у APT нет определения и невозможно по сэмплу сказать, APT это или нет, то что ж это тогда за термин такой и для чего?

Все же по самплу нельзя говорить об APT. Нужно отталкиваться от контекста, в котором этот сампл использовался. Иначе это не APT, а просто какой-то пусть и уникальный сампл.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
rkhunter
По крайней мере, можно предполагать, APT это или нет, по некоторым признакам, присущим достоверным APT за последнее время.

APT это такой терминологический ответ AV-индустрии на некоторую малварь, которую они вынуждены расследовать в контексте. Пока АВеров хватает на то, чтобы добавлять малварь в базы и оценить ее минимальное поведение. По приходу малвари получается невозможно сказать APT или нет, разве что предположить. Но кого нынче волнуют ваши догадки и предположения? Никого.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

  • Сообщения

    • Dmitrius
      Сервис подбора и сравнение кредитов Случается так, что деньги нужны срочно. Поэтому если у вас нет накоплений, рациональней всего обратиться за помощью на этот сайт, где собраны надежные, проверенные банки, которым точно можно доверять. Учреждения подготовили лучшие предложения, которые только возможны. На этом сайте есть возможность подобрать кредит, а также оформить займ либо взять деньги на приобретение автомобиля. И самое главное, что все это на наиболее выгодных для вас условиях. Автокредит Казахстан проценты - это шанс купить все, что нужно, не отказывая себе в покупке. Все банковские продукты различаются требованиями, условиями выдачи, а потому рекомендуется детально изучить условия договора и особенности выдачи денежных средств. Потребительский кредит оформить (рассчитать) в Алматы получится в данный момент. На этом сайте вы сможете не только подобрать подходящий вариант, но и сравнить имеющиеся. Затем следует определиться с тем, в какой банк обратиться за материальной поддержкой. Составить заявку на выдачу средств можно в режиме реального времени. Кредит наличными заявка онлайн выдается в течение часа наиболее комфортным для вас способом. На портале опубликован список всех доступных предложений, имеется необходимая информация о каждом банке и кредитах. Выберете самую низкую процентную ставку, а также сумму и сроки, на которые планируете занять сумму. Все максимально просто, быстро и понятно. Ипотека проценты Казахстан (ипотека Казахстан) - это отличная возможность решить свои жилищные проблемы. Важно помнить о том, что лишь надежные компании с огромным опытом готовы предложить приемлемые условия. Выберете подходящий для себя банковский продукт, чтобы поправить материальное положение.
    • Dmitrius
      Интернет магазин автозапчастей  Интернет-магазин «AUTOSHOP» реализует внушительный выбор деталей на автомобили - их можно подобрать не только по наименованию, но и артикулу и другим параметрам. Имеются разные запчасти на любые автомобили самых разных марок и моделей - вы сможете их найти в один клик. Запчасти находятся на складе - это дает возможность осуществить быструю транспортировку. Сотрудничество исключительно с надежными, проверенными поставщиками, которые работают на совесть и предлагают продукцию безупречного качества и с длительными эксплуатационными сроками. Автозапчасти интернет магазин для иномарок рекомендует ознакомиться с полным ассортиментом – он даст возможность подобрать вариант с учетом обозначенных требований. Перед тем, как осуществить приобретение, необходимо детально изучить технические аспекты, ведь именно они влияют на сроки эксплуатации и внешний вид авто. Но если вам требуется помощь специалиста, то вы всегда можете воспользоваться профессиональной консультацией. Автозапчасти для иномарок Курск вы обязательно подберете для любой машины, несмотря на год производства. Изучите справочник автотоваров, каталог, а также новости, представленные на данную тематику - информация поможет принять правильное решение. Сотрудники интернет-магазина быстро реагируют на появление новых деталей в европейских магазинах для того, чтобы в ближайшее время пополнить ими свой ассортимент. Это даст возможность быстро среагировать за изменяющуюся ситуацию. Каталог автозапчастей Курск содержит огромный перечень деталей. Они созданы в соответствии с самыми высокими стандартами, нормами, требованиями. Администрация проверяет запчасти на соответствие заданным характеристикам, поэтому в продажу попадает только та продукция, которая имеет сопроводительную документацию, сертификаты. На продукцию есть гарантии, подтверждающие безупречное качество, оригинальность.
    • JamesBisee
      Купить газовый котел с закрытой камерой сгорания в Москве
      https://www.fire-flower.ru/
      https://www.google.tg/url?q=https://fire-flower.ru
    • PR55.RP55
      По всей видимости uVS не всегда может получить доступ к: Hosts Нужно чтобы в Лог писалась информация: "Нет доступа  к Hosts " Вроде сейчас uVS  соответствующих записей не создаёт?
    • Dmitrius
      Канализация из септиков под ключ На предприятии каждый сможет заказать установку септиков, созданных из ЖБ конец - они не только практичны, но и отличаются безукоризненным качеством. Ищите где заказать монтаж септика астра - получите всю необходимую информацию на сайте. Важным моментом является то, что услуги оказываются на должном, профессиональном уровне. Это достигается за счет того, что в бригаде трудятся специалисты, которые знают все особенности своей работы. При этом стоимость работ остается на доступном уровне. Огромный стаж работы позволил приобрести большое количество клиентов – они советуют предприятие знакомым. Бетонные септики пользуются популярностью не только за счет своей небольшой стоимости, но и благодаря прочности, а также невосприимчивы к негативным условиях среды, они не нуждаются в сервисном обслуживании. И самое важное, что установка проводится на грунте любого типа. Такой вид септика считается самым быстрым способом организовать очистное сооружение на дачном участке. Сотрудники предприятия специально для вас подготовят предложение, произведут расчеты, грамотно расположат септик, а заодно и закупят все необходимые материалы по доступным ценам, выполнят доставку и монтажные работы. На все, включая материалы, предоставляются гарантии. Услуги оказываются не только по столице, но и области, на любом грунте: песке, глине и др. Монтаж септиков различной сложности, а также с подключением бани или дачи, переливом, любых соединений. Есть возможность вызвать целую бригаду специалистов на малый участок либо дачу, на которой вы проживаете время от времени или постоянно. Монтажные работы в ограниченные сроки. Во время монтажных работ учитывается то, сколько человек проживает в доме, особенности – о них поведает консультант. Теперь и вы сможете заказать высококлассные работы.
×