Перейти к содержанию
rkhunter

Грэг Хоглунд об истинном значении APT

Recommended Posts

rkhunter

Тех. дир. HBGary и основатель ныне покойного rootkit.com об APT

‘Advanced Persistent Threat’ has become a marketing term used by many in the security industry to describe targeted attacks. Originally, the term was invented by the military to describe foreign-intelligence / state-sponsored attacks on the United States. Since then, the term has been abused and contorted to a variety of definitions. HBGary and a couple of other companies have tried to maintain a clear definition that APT is about human adversaries, and not about specific malware or botnet programs. In fact, HBGary has spent a great deal of time and resource tracking the adversaries behind various ‘APT’ intrusions and what we found out is enlightening. It turns out that the adversaries behind most ‘APT’ attacks are actually run-of-the-mill hackers, just like the hackers who are traditionally associated with e-Crime groups. It is true that they target intellectual property, but they also run botnets, sell stolen or counterfeit goods, commit banking fraud, and steal online gaming accounts. They use the same hacker-tools that are commonplace amongst hackers, regardless of intent. In other words, there is no ‘special’ APT sauce. For example, one of the more prolific APT groups centers around a criminal hacker in China who not only steals intellectual property from defense contractors, but also participates in a variety of mundane e-scams. While investigating a separate group, HBGary managed to image the hard drive of a command-and-control server and found not just stolen intellectual property, but also custom programs designed to steal the usernames and passwords of a popular online MMO game. And in another case, the hacker behind a very targeted APT attack also appeared to be deeply involved in banking fraud. What is lesson here? While APT attackers might be selling stolen IP to the state of China, they are just hackers like all the other criminal hackers.

http://hbgary.com/greg-hoglund-blog

  • Upvote 5

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Valery Ledovskoy
‘Advanced Persistent Threat’ has become a marketing term

Отож.

Originally, the term was invented by the military to describe foreign-intelligence / state-sponsored attacks on the United States

Ага.

What is lesson here? While APT attackers might be selling stolen IP to the state of China, they are just hackers like all the other criminal hackers.

В общем, когда хочется APT можно become'ить его во что угодно :)

  • Upvote 5

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
rkhunter

Угу, как это обычно и бывает термин пошел от военных.

Правда интерпретация от самого Хоглунда выглядит весьма серьезно и убедительно.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
A.

Возможно я пропустил, но как сам Грэг классифицирует прошлогодний взлом его HBGary - как APT или так, фигня на палочке ? :)

  • Upvote 5

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Сергей Ильин

Логично написано, в том числе и про маркетинговый термин. Но не стоит тут искать негативные конотации у слова "маркетинговый". Про целевые или таргетированные атаки говорили давным давно. Кого это зацепило? Да никого ровным счетом. Сейчас же когда пошли действительно серьезные атаки, многие из которых были детально препарированы, была явная потребность в новом термине. Он как бы подводит черту и дает возможность говорить о новом уровне угроз и это понятно клиентам.

С тем же успехом можно вообще говорить, что с 2005 года ничего не изменилось. Как писали вредоносные программы, заражали людей, ломали сайты и сети, шантажировали, вымогали и т.п., так этим и занимаются. Принципиально ничего нового. Малек подросла квалификация злоумышленников ну и масштабы злодеяний.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
A.
Логично написано, в том числе и про маркетинговый термин. Но не стоит тут искать негативные конотации у слова "маркетинговый".

А какие еще "конотации" можно искать у этого термина ? Это ведь именно маркетологи, пихают его куда ни попадя, выдавая за APT - совсем другие вещи. В результате возникает конгитивный диссонанс, термин APT _вслед_за_ маркетоидами, начинают трактовать как кому угодно, уже и "эксперты" - просто тупо пытаясь расширить его определение и подвести под него все что угодно. Не адвансед, не перситент - пофиг, лишь бы модное словечко прицепить. И даже оправдания придумывают - почему не адвансед все равно можно считать адвансед и почему не персистент - он на самом деле персистент.

Запомните уже наконец - таргетированная атака != APT.

Точно так же как руткит != malware.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Mr. Justice
Запомните уже наконец - таргетированная атака != APT.

Точно так же как руткит != malware.

Мне, лично, не совсем понятно. Руткит правильно классифицировать как разновидность malware, а не как его синоним. Верно?

Алекс, расскажи в двух словах (если это, конечно, возможно) как все-таки следует понимать термин APT

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
_Stout
Запомните уже наконец - таргетированная атака != APT.

Я бы сказал, что любая АРТ есть таргетированная атака, но не наоборот.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
A.
Мне, лично, не совсем понятно. Руткит правильно классифицировать как разновидность malware, а не как его синоним. Верно?

Не верно. Руткит - это технология, конечной целью которой, является скрытие чего либо в системе (кода, активности (в том числе человеческой), данных). Как правило, скрывается именно malware, да. Но сама по себе технология руткита не является вредоносной.

Иначе бы, тот человек, чью цитату мы в этом топике обсуждаем, по идее, должен бы не компании возглавлять, а в тюрьме сидеть - за создание первого в истории руткита для Win.

Алекс, расскажи в двух словах (если это, конечно, возможно) как все-таки следует понимать термин APT

В двух словах ? Ок:

Забудьте его.

Так будет правильней, чем пытаться переучить толпы идиотов.

Очередной пример вот только что увидел:

http://amatrosov.blogspot.com/2012/06/acadmedre.html

Замечательных тэгов к этому посту нахреначил г-н Матросов - тут тебе и APT и даже Cyberwar. Между Перу и Китаем, очевидно.

Pezdek :facepalm:

  • Upvote 5

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
rkhunter
С тем же успехом можно вообще говорить, что с 2005 года ничего не изменилось. Как писали вредоносные программы, заражали людей, ломали сайты и сети, шантажировали, вымогали и т.п., так этим и занимаются. Принципиально ничего нового. Малек подросла квалификация злоумышленников ну и масштабы злодеяний.

Ok.

1. Появилась руткит-индустрия.

2. Количество малвари стало расти экспоненц. темпами. Т. е. к категории "качество" добавилось "количество", с огромным перевесом в сторону "количество".

3. Как следствие 2-го появилась AV-индустрия, аверы стали ориентироваться не на конкретную малварь, а на фидбек собственных юзеров. Соответственно, произошло расслоение вендоров по типу "выживает сильнейший".

4. Кибер-пространство стало принадлежать малвари, а не АВерам, которые пытаются догнать VX-индустрию [но на самом деле больше рассчитывают на продажу своих продуктов].

Те кто думает до сих пор что "с 2005 года ничего не изменилось" сегодня в догоняющих.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
АМX
Не верно. Руткит - это технология, конечной целью которой, является скрытие чего либо в системе (кода, активности (в том числе человеческой), данных). Как правило, скрывается именно malware, да. Но сама по себе технология руткита не является вредоносной.

Иначе бы, тот человек, чью цитату мы в этом топике обсуждаем, по идее, должен бы не компании возглавлять, а в тюрьме сидеть - за создание первого в истории руткита для Win.

В двух словах ? Ок:

Забудьте его.

Так будет правильней, чем пытаться переучить толпы идиотов.

Очередной пример вот только что увидел:

http://amatrosov.blogspot.com/2012/06/acadmedre.html

Замечательных тэгов к этому посту нахреначил г-н Матросов - тут тебе и APT и даже Cyberwar. Между Перу и Китаем, очевидно.

Pezdek :facepalm:

Просто хваленый Касперский до сих пор не детектирует ACAD/Medre. И значит Алекс нечего не наблюдает, и семплов у него нет.

https://www.virustotal.com/file/0ba417b1d4b...d531a/analysis/

:P:D:)

Кстати последняя версия Win32/Sirefef это тоже malware - rootkit.

http://kltest.org.ru/viewtopic.php?f=19&am...&start=4640

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Сергей Ильин
http://amatrosov.blogspot.com/2012/06/acadmedre.html

Замечательных тэгов к этому посту нахреначил г-н Матросов - тут тебе и APT и даже Cyberwar. Между Перу и Китаем, очевидно.

К этому посту APT явно лишний тег. В общем как Cyberwar тоже.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
alexgr

то есть НОД опередил? давайте постить все пропуски антивирусных лабораторий что ли? Я полагаю, что это вообще не показатель - пропускают ВСЕ. И в коллекции всегда найдется пара вредоносов, которые кто-то не детектит. И НОД в том числе. Тема ведь о другом!

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Mr. Justice
Не верно. Руткит - это технология, конечной целью которой, является скрытие чего либо в системе (кода, активности (в том числе человеческой), данных). Как правило, скрывается именно malware, да. Но сама по себе технология руткита не является вредоносной.

Иначе бы, тот человек, чью цитату мы в этом топике обсуждаем, по идее, должен бы не компании возглавлять, а в тюрьме сидеть - за создание первого в истории руткита для Win.

Логично, с той лишь поправкой, что rootkit - это не только технология, но и объект.

В двух словах ? Ок:

Забудьте его.

Так будет правильней, чем пытаться переучить толпы идиотов.

Очередной пример вот только что увидел:

http://amatrosov.blogspot.com/2012/06/acadmedre.html

Замечательных тэгов к этому посту нахреначил г-н Матросов - тут тебе и APT и даже Cyberwar. Между Перу и Китаем, очевидно.

Pezdek :facepalm:

Благодарю за ответ

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
rkhunter

В этой связи несколько мыслей.

Во-первых

Может ли независимый ресерчер заявить об обнаружении APT? Например, я расследую случай обнаружения [у пользователя] драйвера ("руткита") (детектируемого большинством АВеров). Одна из главных особенностей драйвера - кэширование информации передаваемой устройствами по serial порту, затем данные шифруются и отправляются на сервер. Кроме того, он может исполнять код, который будет выглядеть внешне как доверенный. При этом драйвер не выглядит подозрительно в памяти, т. е. не выполняет каких-то перехватов, которые могли бы определяться анти-руткитами. Чем не APT?

Во-вторых

Почему бы не ввести "универсальную шкалу APT", например, состоящую из 10 пунктов. По совокупности, например, семи из них угроза точно объявляется APT.

Например изначально ее уровень 0.

+4 Если угроза обнаружена на промышленном объекте

+2 Если она скрытно собирает данные о системе

+1 Если устанавливает драйвер в системе

+1 Если срок "ее жизни" у пользователя более полугода.

и т. д.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
A.
В этой связи несколько мыслей.Например, я расследую случай обнаружения [у пользователя] драйвера ("руткита") (детектируемого большинством АВеров). Одна из главных особенностей драйвера - кэширование информации передаваемой устройствами по serial порту, затем данные шифруются и отправляются на сервер. Кроме того, он может исполнять код, который будет выглядеть внешне как доверенный. При этом драйвер не выглядит подозрительно в памяти, т. е. не выполняет каких-то перехватов, которые могли бы определяться анти-руткитами. Чем не APT?

Да пусть он хоть квантовую криптографию использует. Если тебе хочется подвести его под термин APT, то ключевым пунктом тут является "жертва", а не инструмент.

+1 Если устанавливает драйвер в системе

Что за лол ? :D О чем это и зачем ?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
rkhunter
Что за лол ? :D О чем это и зачем ?

Зря вы так :(

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
A.
Зря вы так :(

чо зря-то ? с каких-то пор наличие драйвера является хоть каким-либо признаком APT ?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
rkhunter

Хе-х вот и почему так бывает? Реверсишь интересную, сложную малварь на которую пока никто не обратил пристальное внимание, а тут начинают выплывать домены пореганные на российских чуваков из стран Европы, аккаунты в твиттере, linkedin. Можно было бы сразу в блог или на krebsonsecurity, да в принципе по фиг...

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Valery Ledovskoy

Насколько я понимаю, rkhunter просто предложил некоторую модель, по которой можно было бы понять - это действительно апэтпшное апэтэ или какой-то маркетолог где-то прочитал другого маркетолога про апэтэ и решил, что это тоже можно назвать апэтэ.

A. указал на один из пунктов перечисления, но ничего, собственно, не сказал про методологию.

По его мнению, APT определяется только определением "хищника" и "жертвы".

Но не всегда, когда даже ЛК пишет про APT, достоверно известны эти две стороны.

Поэтому действительно было бы неплохо конкретизировать этот термин, попытаться определять APTion :) сэмпла, не имея на руках информации из органов, которые каким-то образом определили, откуда данный сэмпл отправлялся, кто был целью и что это за цель была.

Так же, как HIPS-компоненты в антивирусах определяют вредоносность сэмпла по действиям, без чёткой записи в базе.

Мысль здравая, в общем-то. Правда, труднореализуемая.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
OlegAndr

Пытаться сформировать устойчивые и всеобъемлющие определения для технологий которые меняются со скоростью света успехов в этом.

Алекс и говорит "забудьте ярлыки", а то будет как с вирусами или руткитами опять.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Сергей Ильин
Хе-х вот и почему так бывает? Реверсишь интересную, сложную малварь на которую пока никто не обратил пристальное внимание, а тут начинают выплывать домены пореганные на российских чуваков из стран Европы, аккаунты в твиттере, linkedin. Можно было бы сразу в блог или на krebsonsecurity, да в принципе по фиг...

Публикуй, страна должна знать своих героев. Можно делать это у нас в блогах, как вариант ;)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Valery Ledovskoy
Пытаться сформировать устойчивые и всеобъемлющие определения для технологий которые меняются со скоростью света успехов в этом.

Ну, вообще-то, те APT, которые недавно гремели и гремят, показывают, что эти сэмплы находятся на компьютерах пользователей месяцами. Так что про изменение со скоростью света - это сильно.

Кроме того, таких сэмплов пока не так много (относительно), и вряд ли будет больше, ибо если будет больше, то какое же это APT? :)

Т.е. существуют некоторые ограничения, которые позволяют некоторые общие правила создать.

А если у APT нет определения и невозможно по сэмплу сказать, APT это или нет, то что ж это тогда за термин такой и для чего?

По крайней мере, можно предполагать, APT это или нет, по некоторым признакам, присущим достоверным APT за последнее время.

Например, если видны следы одних и тех же технологий, по которым вирусные лаборатории говорят, что с большой вероятностью, вот этот новый сэмпл был сделан теми же самыми людьми.

Мне кажется, если подумать, а не сразу отметать идею, здесь вполне есть, за что зацепиться.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Сергей Ильин
А если у APT нет определения и невозможно по сэмплу сказать, APT это или нет, то что ж это тогда за термин такой и для чего?

Все же по самплу нельзя говорить об APT. Нужно отталкиваться от контекста, в котором этот сампл использовался. Иначе это не APT, а просто какой-то пусть и уникальный сампл.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
rkhunter
По крайней мере, можно предполагать, APT это или нет, по некоторым признакам, присущим достоверным APT за последнее время.

APT это такой терминологический ответ AV-индустрии на некоторую малварь, которую они вынуждены расследовать в контексте. Пока АВеров хватает на то, чтобы добавлять малварь в базы и оценить ее минимальное поведение. По приходу малвари получается невозможно сказать APT или нет, разве что предположить. Но кого нынче волнуют ваши догадки и предположения? Никого.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

  • Сообщения

    • Ego Dekker
    • ArktiTig
      Арктика - северная полярная область Земли, включающая окраины материков Евразии и Северной Америки, почти весь Северный Ледовитый океан с островами и прилегающие к нему части Атлантического и Тихого океанов. Название её происходит от греческого слова arctos (медведь) и связано со звёздами: Полярная звезда, находящаяся почти точно в зените над Северным полюсом, принадлежит к созвездию Малая Медведица.
    • ArktiTig
      Арктика - северная полярная область Земли, включающая окраины материков Евразии и Северной Америки, почти весь Северный Ледовитый океан с островами и прилегающие к нему части Атлантического и Тихого океанов. Название её происходит от греческого слова arctos (медведь) и связано со звёздами: Полярная звезда, находящаяся почти точно в зените над Северным полюсом, принадлежит к созвездию Малая Медведица.
    • PR55.RP55
      .xml  файлы taskschd.msc Могут быть подписаны  цифровой подписью. Думаю будет нелишним, если uVS будет это фиксировать. т.е. проверять не только подпись целевого файла, но и подпись самого файла\задачи. и писать в ИНфО .  
    • demkd
      ---------------------------------------------------------
       4.15.2
      ---------------------------------------------------------
       o Исправлена ошибка при работе с образом автозапуска.
         Для некоторых процессов команда unload не добавлялась в скрипт при нажатии кнопки "принять изменения".  o Добавлена плашка окна на таскбаре для окна удаленного рабочего стола.
         (при работе с удаленной системой) -----------------------------------------------------------
      Есть проблема с локализацией глюка в редких случаях приводящему к аварийному завершению uVS при активном флаге "Проверять весь HKCR".
      На основе дампов его найти не получается, нужна копия реестра системы с такой проблемой, если кому-то попадется такая проблема, то присылайте архив с копией реестра системы мне на почту.  
×