Грэг Хоглунд об истинном значении APT

[rkhunter 150]

Тех. дир. HBGary и основатель ныне покойного rootkit.com об APT

‘Advanced Persistent Threat’ has become a marketing term used by many in the security industry to describe targeted attacks. Originally, the term was invented by the military to describe foreign-intelligence / state-sponsored attacks on the United States. Since then, the term has been abused and contorted to a variety of definitions. HBGary and a couple of other companies have tried to maintain a clear definition that APT is about human adversaries, and not about specific malware or botnet programs. In fact, HBGary has spent a great deal of time and resource tracking the adversaries behind various ‘APT’ intrusions and what we found out is enlightening. It turns out that the adversaries behind most ‘APT’ attacks are actually run-of-the-mill hackers, just like the hackers who are traditionally associated with e-Crime groups. It is true that they target intellectual property, but they also run botnets, sell stolen or counterfeit goods, commit banking fraud, and steal online gaming accounts. They use the same hacker-tools that are commonplace amongst hackers, regardless of intent. In other words, there is no ‘special’ APT sauce. For example, one of the more prolific APT groups centers around a criminal hacker in China who not only steals intellectual property from defense contractors, but also participates in a variety of mundane e-scams. While investigating a separate group, HBGary managed to image the hard drive of a command-and-control server and found not just stolen intellectual property, but also custom programs designed to steal the usernames and passwords of a popular online MMO game. And in another case, the hacker behind a very targeted APT attack also appeared to be deeply involved in banking fraud. What is lesson here? While APT attackers might be selling stolen IP to the state of China, they are just hackers like all the other criminal hackers.

http://hbgary.com/greg-hoglund-blog

[Valery Ledovskoy 1082]

‘Advanced Persistent Threat’ has become a marketing term

Отож.

Originally, the term was invented by the military to describe foreign-intelligence / state-sponsored attacks on the United States

Ага.

What is lesson here? While APT attackers might be selling stolen IP to the state of China, they are just hackers like all the other criminal hackers.

В общем, когда хочется APT можно become'ить его во что угодно

[rkhunter 150]

Угу, как это обычно и бывает термин пошел от военных.

Правда интерпретация от самого Хоглунда выглядит весьма серьезно и убедительно.

[A. 876]

Возможно я пропустил, но как сам Грэг классифицирует прошлогодний взлом его HBGary - как APT или так, фигня на палочке ?

[Сергей Ильин 1538]

Логично написано, в том числе и про маркетинговый термин. Но не стоит тут искать негативные конотации у слова "маркетинговый". Про целевые или таргетированные атаки говорили давным давно. Кого это зацепило? Да никого ровным счетом. Сейчас же когда пошли действительно серьезные атаки, многие из которых были детально препарированы, была явная потребность в новом термине. Он как бы подводит черту и дает возможность говорить о новом уровне угроз и это понятно клиентам.

С тем же успехом можно вообще говорить, что с 2005 года ничего не изменилось. Как писали вредоносные программы, заражали людей, ломали сайты и сети, шантажировали, вымогали и т.п., так этим и занимаются. Принципиально ничего нового. Малек подросла квалификация злоумышленников ну и масштабы злодеяний.

[A. 876]

Логично написано, в том числе и про маркетинговый термин. Но не стоит тут искать негативные конотации у слова "маркетинговый".

А какие еще "конотации" можно искать у этого термина ? Это ведь именно маркетологи, пихают его куда ни попадя, выдавая за APT - совсем другие вещи. В результате возникает конгитивный диссонанс, термин APT _вслед_за_ маркетоидами, начинают трактовать как кому угодно, уже и "эксперты" - просто тупо пытаясь расширить его определение и подвести под него все что угодно. Не адвансед, не перситент - пофиг, лишь бы модное словечко прицепить. И даже оправдания придумывают - почему не адвансед все равно можно считать адвансед и почему не персистент - он на самом деле персистент.

Запомните уже наконец - таргетированная атака != APT.

Точно так же как руткит != malware.

[Mr. Justice 771]

Запомните уже наконец - таргетированная атака != APT.

Точно так же как руткит != malware.

Мне, лично, не совсем понятно. Руткит правильно классифицировать как разновидность malware, а не как его синоним. Верно?

Алекс, расскажи в двух словах (если это, конечно, возможно) как все-таки следует понимать термин APT

[_Stout 131]

Запомните уже наконец - таргетированная атака != APT.

Я бы сказал, что любая АРТ есть таргетированная атака, но не наоборот.

[A. 876]

Мне, лично, не совсем понятно. Руткит правильно классифицировать как разновидность malware, а не как его синоним. Верно?

Не верно. Руткит - это технология, конечной целью которой, является скрытие чего либо в системе (кода, активности (в том числе человеческой), данных). Как правило, скрывается именно malware, да. Но сама по себе технология руткита не является вредоносной.

Иначе бы, тот человек, чью цитату мы в этом топике обсуждаем, по идее, должен бы не компании возглавлять, а в тюрьме сидеть - за создание первого в истории руткита для Win.

Алекс, расскажи в двух словах (если это, конечно, возможно) как все-таки следует понимать термин APT

В двух словах ? Ок:

Забудьте его.

Так будет правильней, чем пытаться переучить толпы идиотов.

Очередной пример вот только что увидел:

http://amatrosov.blogspot.com/2012/06/acadmedre.html

Замечательных тэгов к этому посту нахреначил г-н Матросов - тут тебе и APT и даже Cyberwar. Между Перу и Китаем, очевидно.

Pezdek

[rkhunter 150]

С тем же успехом можно вообще говорить, что с 2005 года ничего не изменилось. Как писали вредоносные программы, заражали людей, ломали сайты и сети, шантажировали, вымогали и т.п., так этим и занимаются. Принципиально ничего нового. Малек подросла квалификация злоумышленников ну и масштабы злодеяний.

Ok.

1. Появилась руткит-индустрия.

2. Количество малвари стало расти экспоненц. темпами. Т. е. к категории "качество" добавилось "количество", с огромным перевесом в сторону "количество".

3. Как следствие 2-го появилась AV-индустрия, аверы стали ориентироваться не на конкретную малварь, а на фидбек собственных юзеров. Соответственно, произошло расслоение вендоров по типу "выживает сильнейший".

4. Кибер-пространство стало принадлежать малвари, а не АВерам, которые пытаются догнать VX-индустрию [но на самом деле больше рассчитывают на продажу своих продуктов].

Те кто думает до сих пор что "с 2005 года ничего не изменилось" сегодня в догоняющих.

[АМX 0]

Не верно. Руткит - это технология, конечной целью которой, является скрытие чего либо в системе (кода, активности (в том числе человеческой), данных). Как правило, скрывается именно malware, да. Но сама по себе технология руткита не является вредоносной.

Иначе бы, тот человек, чью цитату мы в этом топике обсуждаем, по идее, должен бы не компании возглавлять, а в тюрьме сидеть - за создание первого в истории руткита для Win.

В двух словах ? Ок:

Забудьте его.

Так будет правильней, чем пытаться переучить толпы идиотов.

Очередной пример вот только что увидел:

http://amatrosov.blogspot.com/2012/06/acadmedre.html

Замечательных тэгов к этому посту нахреначил г-н Матросов - тут тебе и APT и даже Cyberwar. Между Перу и Китаем, очевидно.

Pezdek

Просто хваленый Касперский до сих пор не детектирует ACAD/Medre. И значит Алекс нечего не наблюдает, и семплов у него нет.

https://www.virustotal.com/file/0ba417b1d4b...d531a/analysis/

Кстати последняя версия Win32/Sirefef это тоже malware - rootkit.

http://kltest.org.ru/viewtopic.php?f=19&am...&start=4640

[Сергей Ильин 1538]

http://amatrosov.blogspot.com/2012/06/acadmedre.html

Замечательных тэгов к этому посту нахреначил г-н Матросов - тут тебе и APT и даже Cyberwar. Между Перу и Китаем, очевидно.

К этому посту APT явно лишний тег. В общем как Cyberwar тоже.

[alexgr 556]

то есть НОД опередил? давайте постить все пропуски антивирусных лабораторий что ли? Я полагаю, что это вообще не показатель - пропускают ВСЕ. И в коллекции всегда найдется пара вредоносов, которые кто-то не детектит. И НОД в том числе. Тема ведь о другом!

[Mr. Justice 771]

Не верно. Руткит - это технология, конечной целью которой, является скрытие чего либо в системе (кода, активности (в том числе человеческой), данных). Как правило, скрывается именно malware, да. Но сама по себе технология руткита не является вредоносной.

Иначе бы, тот человек, чью цитату мы в этом топике обсуждаем, по идее, должен бы не компании возглавлять, а в тюрьме сидеть - за создание первого в истории руткита для Win.

Логично, с той лишь поправкой, что rootkit - это не только технология, но и объект.

В двух словах ? Ок:

Забудьте его.

Так будет правильней, чем пытаться переучить толпы идиотов.

Очередной пример вот только что увидел:

http://amatrosov.blogspot.com/2012/06/acadmedre.html

Замечательных тэгов к этому посту нахреначил г-н Матросов - тут тебе и APT и даже Cyberwar. Между Перу и Китаем, очевидно.

Pezdek

Благодарю за ответ

[rkhunter 150]

В этой связи несколько мыслей.

Во-первых

Может ли независимый ресерчер заявить об обнаружении APT? Например, я расследую случай обнаружения [у пользователя] драйвера ("руткита") (детектируемого большинством АВеров). Одна из главных особенностей драйвера - кэширование информации передаваемой устройствами по serial порту, затем данные шифруются и отправляются на сервер. Кроме того, он может исполнять код, который будет выглядеть внешне как доверенный. При этом драйвер не выглядит подозрительно в памяти, т. е. не выполняет каких-то перехватов, которые могли бы определяться анти-руткитами. Чем не APT?

Во-вторых

Почему бы не ввести "универсальную шкалу APT", например, состоящую из 10 пунктов. По совокупности, например, семи из них угроза точно объявляется APT.

Например изначально ее уровень 0.

+4 Если угроза обнаружена на промышленном объекте

+2 Если она скрытно собирает данные о системе

+1 Если устанавливает драйвер в системе

+1 Если срок "ее жизни" у пользователя более полугода.

и т. д.

[A. 876]

В этой связи несколько мыслей.Например, я расследую случай обнаружения [у пользователя] драйвера ("руткита") (детектируемого большинством АВеров). Одна из главных особенностей драйвера - кэширование информации передаваемой устройствами по serial порту, затем данные шифруются и отправляются на сервер. Кроме того, он может исполнять код, который будет выглядеть внешне как доверенный. При этом драйвер не выглядит подозрительно в памяти, т. е. не выполняет каких-то перехватов, которые могли бы определяться анти-руткитами. Чем не APT?

Да пусть он хоть квантовую криптографию использует. Если тебе хочется подвести его под термин APT, то ключевым пунктом тут является "жертва", а не инструмент.

+1 Если устанавливает драйвер в системе

Что за лол ? О чем это и зачем ?

[rkhunter 150]

Что за лол ? О чем это и зачем ?

Зря вы так

[A. 876]

Зря вы так

чо зря-то ? с каких-то пор наличие драйвера является хоть каким-либо признаком APT ?

[rkhunter 150]

Хе-х вот и почему так бывает? Реверсишь интересную, сложную малварь на которую пока никто не обратил пристальное внимание, а тут начинают выплывать домены пореганные на российских чуваков из стран Европы, аккаунты в твиттере, linkedin. Можно было бы сразу в блог или на krebsonsecurity, да в принципе по фиг...

[Valery Ledovskoy 1082]

Насколько я понимаю, rkhunter просто предложил некоторую модель, по которой можно было бы понять - это действительно апэтпшное апэтэ или какой-то маркетолог где-то прочитал другого маркетолога про апэтэ и решил, что это тоже можно назвать апэтэ.

A. указал на один из пунктов перечисления, но ничего, собственно, не сказал про методологию.

По его мнению, APT определяется только определением "хищника" и "жертвы".

Но не всегда, когда даже ЛК пишет про APT, достоверно известны эти две стороны.

Поэтому действительно было бы неплохо конкретизировать этот термин, попытаться определять APTion сэмпла, не имея на руках информации из органов, которые каким-то образом определили, откуда данный сэмпл отправлялся, кто был целью и что это за цель была.

Так же, как HIPS-компоненты в антивирусах определяют вредоносность сэмпла по действиям, без чёткой записи в базе.

Мысль здравая, в общем-то. Правда, труднореализуемая.

[OlegAndr 236]

Пытаться сформировать устойчивые и всеобъемлющие определения для технологий которые меняются со скоростью света успехов в этом.

Алекс и говорит "забудьте ярлыки", а то будет как с вирусами или руткитами опять.

[Сергей Ильин 1538]

Хе-х вот и почему так бывает? Реверсишь интересную, сложную малварь на которую пока никто не обратил пристальное внимание, а тут начинают выплывать домены пореганные на российских чуваков из стран Европы, аккаунты в твиттере, linkedin. Можно было бы сразу в блог или на krebsonsecurity, да в принципе по фиг...

Публикуй, страна должна знать своих героев. Можно делать это у нас в блогах, как вариант

[Valery Ledovskoy 1082]

Пытаться сформировать устойчивые и всеобъемлющие определения для технологий которые меняются со скоростью света успехов в этом.

Ну, вообще-то, те APT, которые недавно гремели и гремят, показывают, что эти сэмплы находятся на компьютерах пользователей месяцами. Так что про изменение со скоростью света - это сильно.

Кроме того, таких сэмплов пока не так много (относительно), и вряд ли будет больше, ибо если будет больше, то какое же это APT?

Т.е. существуют некоторые ограничения, которые позволяют некоторые общие правила создать.

А если у APT нет определения и невозможно по сэмплу сказать, APT это или нет, то что ж это тогда за термин такой и для чего?

По крайней мере, можно предполагать, APT это или нет, по некоторым признакам, присущим достоверным APT за последнее время.

Например, если видны следы одних и тех же технологий, по которым вирусные лаборатории говорят, что с большой вероятностью, вот этот новый сэмпл был сделан теми же самыми людьми.

Мне кажется, если подумать, а не сразу отметать идею, здесь вполне есть, за что зацепиться.

[Сергей Ильин 1538]

А если у APT нет определения и невозможно по сэмплу сказать, APT это или нет, то что ж это тогда за термин такой и для чего?

Все же по самплу нельзя говорить об APT. Нужно отталкиваться от контекста, в котором этот сампл использовался. Иначе это не APT, а просто какой-то пусть и уникальный сампл.

[rkhunter 150]

По крайней мере, можно предполагать, APT это или нет, по некоторым признакам, присущим достоверным APT за последнее время.

APT это такой терминологический ответ AV-индустрии на некоторую малварь, которую они вынуждены расследовать в контексте. Пока АВеров хватает на то, чтобы добавлять малварь в базы и оценить ее минимальное поведение. По приходу малвари получается невозможно сказать APT или нет, разве что предположить. Но кого нынче волнуют ваши догадки и предположения? Никого.