Uma ameaça persistente avançada (do inglês, advanced persistent threat, APT) é uma ameaça furtiva à segurança cibernética, tipicamente manipulada por um Estado ou por um grupo patrocinado por um Estado, que ganha acesso não autorizado a uma rede de computadores e permanece não detectada por um longo período. Em tempos recentes, o termo também pode se referir a grupos não patrocinados por Estados que realizam intrusões direcionadas em larga escala para fins específicos.

As motivações desses atores de ameaças são tipicamente políticas ou econômicas. Todos os principais setores de negócios registraram casos de ataques cibernéticos por atores avançados com objetivos específicos, seja para roubar, espionar ou interromper operações. Esses setores visados incluem o governo, defesa, serviços financeiros, serviços jurídicos, industrial, telecomunicações, bens de consumo e muitos outros. Alguns grupos utilizam vetores tradicionais de espionagem, incluindo engenharia social, inteligência humana e táticas de infiltração para obter acesso a um local físico para viabilizar ataques à rede. O propósito desses ataques é instalar malwares personalizados.

Ataques de APT em dispositivos móveis também se tornaram uma preocupação real, uma vez que atacantes são capazes de penetrar na infraestrutura de nuvem e móvel para espionar, roubar e adulterar dados.

A mediana do "tempo de permanência" (dwell-time), o período em que um ataque de APT permanece sem ser detectado, varia amplamente entre as regiões. A FireEye relatou que a média do tempo de permanência em 2018 nas Américas foi de 71 dias, na EMEA (Europa, Oriente Médio e África) foi de 177 dias e na APAC foi de 204 dias. Um tempo de permanência tão longo permite que os atacantes tenham uma quantidade significativa de tempo para passar pelo ciclo de ataque, se propagarem e atingirem seus objetivos.

Definição As definições do que é precisamente uma APT podem variar, mas podem ser resumidas pelos requisitos de seu próprio nome a seguir:

Avançada – Os operadores por trás da ameaça têm um espectro completo de técnicas de coleta de inteligência à sua disposição. Elas podem incluir tecnologias e técnicas de intrusão de computadores comerciais e de código aberto, mas também podem se estender para incluir o aparelho de inteligência de um Estado. Embora os componentes individuais do ataque possam não ser considerados particularmente "avançados" (como componentes de malware gerados a partir de kits de construção de malware disponíveis publicamente ou o uso de materiais de exploração facilmente obtidos), seus operadores normalmente conseguem acessar e desenvolver ferramentas mais avançadas conforme necessário. Eles frequentemente combinam múltiplos métodos de direcionamento, ferramentas e técnicas a fim de alcançar e comprometer seu alvo e manter o acesso a ele. Os operadores também podem demonstrar um foco deliberado em segurança operacional que os diferencia de ameaças "menos avançadas". Persistente – Os operadores possuem objetivos específicos, em vez de buscarem informações de forma oportunista para ganhos financeiros ou outros. Essa distinção implica que os atacantes são guiados por entidades externas. O direcionamento é conduzido por meio de monitoramento e interação contínuos para atingir os objetivos definidos. Isso não significa uma saraivada constante de ataques e atualizações de malware; na verdade, uma abordagem discreta e lenta (low-and-slow) costuma ser mais bem-sucedida. Se o operador perder o acesso ao seu alvo, ele geralmente tentará reobter acesso e, na maioria das vezes, com sucesso. Um dos objetivos do operador é manter o acesso a longo prazo ao alvo, em contraste com ameaças que precisam de acesso apenas para executar uma tarefa específica. Ameaça – As APTs são uma ameaça porque possuem capacidade e intenção. Ataques de APT são executados por ações humanas coordenadas, e não por partes de código automatizadas e irracionais. Os operadores possuem um objetivo específico e são qualificados, motivados, organizados e bem financiados. Os atores não se limitam a grupos patrocinados por Estados.

História e alvos Avisos contra e-mails de engenharia social direcionados contendo cavalos de Tróia para exfiltrar informações confidenciais foram publicados por organizações CERT do Reino Unido e dos EUA em 2005. Esse método foi usado ao longo do início dos anos 1990 e não constitui, por si só, uma APT. O termo "ameaça persistente avançada" é citado como tendo origem na Força Aérea dos Estados Unidos em 2006, com o coronel Greg Rattray citado como o indivíduo que cunhou o termo.

O worm Stuxnet, que teve como alvo o hardware de computador do programa nuclear do Irã, é um exemplo de ataque por APT. Neste caso, o governo iraniano pode considerar os criadores do Stuxnet como uma ameaça persistente avançada.

Dentro da comunidade de segurança de computadores e, cada vez mais, dentro da mídia, o termo é quase sempre usado em referência a um padrão de longo prazo de exploração sofisticada de redes de computadores voltado para governos, empresas e ativistas políticos, e por extensão, também para atribuir os atributos A, P e T aos grupos por trás desses ataques. O termo ameaça persistente avançada (APT) pode estar mudando de foco para a invasão baseada em computadores devido ao crescente número de ocorrências. A PC World relatou um aumento de 81% de 2010 para 2011 em ataques de computadores direcionados e particularmente avançados.

Atores em muitos países usaram o espaço cibernético como meio de coletar inteligência sobre indivíduos e grupos de indivíduos de interesse. O Comando Cibernético dos Estados Unidos é encarregado de coordenar as operações cibernéticas ofensivas e defensivas do exército americano.

Inúmeras fontes alegaram que alguns grupos de APT estão afiliados a governos de Estados soberanos, ou são seus agentes. Empresas que mantêm uma grande quantidade de informações de identificação pessoal correm alto risco de serem alvos de ameaças persistentes avançadas, incluindo:

Agricultura Energia Instituições financeiras Saúde Ensino superior Manufatura Tecnologia Telecomunicações Transporte

Um estudo da Bell Canada forneceu pesquisas aprofundadas sobre a anatomia de APTs e revelou presença disseminada no governo canadense e em infraestruturas críticas. A atribuição foi estabelecida a atores chineses e russos.

Ciclo de vida thumb|right|300px|Um diagrama retratando a abordagem em etapas do ciclo de vida de uma ameaça persistente avançada (APT), que se repete após a conclusão. Os atores por trás de ameaças persistentes avançadas criam um risco crescente e dinâmico aos ativos financeiros, à propriedade intelectual e à reputação das organizações seguindo um processo contínuo ou cadeia de destruição (kill chain): Obter como alvo organizações específicas para um objetivo único Tentar estabelecer uma base no ambiente (táticas comuns incluem e-mails de spear phishing) Usar os sistemas comprometidos como acesso à rede alvo Implantar ferramentas adicionais que ajudem a cumprir o objetivo do ataque Cobrir rastros para manter o acesso para iniciativas futuras

Em 2013, a Mandiant apresentou os resultados de suas pesquisas sobre supostos ataques chineses usando o método APT entre 2004 e 2013 que seguiam um ciclo de vida semelhante: Comprometimento inicialrealizado pelo uso de engenharia social e spear phishing, via e-mail, utilizando vírus zero-day. Outro método de infecção popular consistia em plantar malware em um site que os funcionários da vítima provavelmente visitariam. Estabelecer baseplantar software de administração remota na rede da vítima, criar backdoors de rede e túneis permitindo acesso furtivo à sua infraestrutura. Elevação de privilégiosusar exploits e quebra de senha para adquirir privilégios de administrador sobre o computador da vítima e, possivelmente, expandi-los para contas de administrador de domínio Windows. Reconhecimento internocoletar informações sobre a infraestrutura ao redor, relações de confiança e estrutura do domínio Windows. Movimentação lateralexpandir o controle para outras estações de trabalho, servidores e elementos de infraestrutura e realizar a coleta de dados neles. Manter presençagarantir o controle contínuo sobre canais de acesso e credenciais adquiridas nas etapas anteriores. Concluir missãoexfiltrar dados roubados da rede da vítima.

Nos incidentes analisados pela Mandiant, o período médio durante o qual os atacantes controlaram a rede da vítima foi de um ano, sendo o mais longo de quase cinco anos. As infiltrações foram supostamente realizadas pela Unidade 61398 do Exército de Libertação Popular, sediada em Xangai. Autoridades chinesas negaram qualquer envolvimento nesses ataques.

Relatórios anteriores da Secdev já haviam descoberto e implicado atores chineses.

Estratégias de mitigação Existem dezenas de milhões de variações de malwares, o que torna extremamente desafiador proteger as organizações contra APTs. Embora as atividades de APT sejam furtivas e difíceis de detectar, o tráfego de rede de comando e controle associado à APT pode ser detectado no nível da camada de rede com métodos sofisticados. Análises profundas de logs e correlação de logs de várias fontes têm utilidade limitada na detecção de atividades de APT. É um desafio separar os ruídos do tráfego legítimo. A tecnologia e os métodos tradicionais de segurança têm se mostrado ineficazes na detecção ou mitigação de APTs. A defesa cibernética ativa tem produzido maior eficácia na detecção e persecução de APTs (encontrar, fixar, finalizar) ao aplicar inteligência de ameaças cibernéticas em atividades de caça e busca de adversários. As Vulnerabilidades Cibernéticas Introduzidas por Humanos (HICV) constituem um elo cibernético fraco que não é bem compreendido nem mitigado, representando um vetor de ataque significativo.

Grupos APT China

Unidade 61398 do ELP (também conhecida como APT1) Unidade 61486 do ELP (também conhecida como APT2) Buckeye (também conhecido como APT3) Red Apollo (também conhecido como APT10) Numbered Panda (também conhecido como APT12) APT15 (também conhecido como Vixen Panda ou Ke3chang) DeputyDog (também conhecido como APT17) Dynamite Panda ou Scandium (também conhecido como APT18, uma unidade da Marinha do Exército de Libertação Popular) Codoso Team (também conhecido como APT19) Wocao (também conhecido como APT20) APT22 (também conhecido como Suckfly) APT26 (também conhecido como Turbine Panda) APT 27 Unidade 78020 do ELP (também conhecida como APT30 e Naikon) Zirconium (também conhecido como APT31, Violet Typhoon, ou Wuhan Xiaoruizhi Science and Technology Company) APT40 Double Dragon (também conhecido como APT41, Winnti Group, Barium ou Axiom) Spamouflage (também conhecido como Dragonbridge ou Storm 1376) Hafnium LightBasin (Também conhecido como UNC1945) Tropic Trooper Volt Typhoon Flax Typhoon Charcoal Typhoon (também conhecido como CHROMIUM) Salmon Typhoon (também conhecido como SODIUM) Salt Typhoon (também conhecido como GhostEmperor ou FamousSparrow) Liminal Panda MirrorFace Mustang Panda (também conhecido como UNC6384) UNC3886 Phantom Taurus UNC2814

Paquistão

Gorgon Group Transparent Tribe (também conhecido como APT36) Operação C-Major ReverseRat SideCopy

Irã

Charming Kitten (também conhecido como APT35) Elfin Team (também conhecido como APT33) Helix Kitten (também conhecido como APT34) Pioneer Kitten Remix Kitten (também conhecido como APT39, ITG07 ou Chafer) MuddyWaterIranian Government-Sponsored MuddyWater Actors Conducting Malicious Cyber Operations

Coreia do Norte Kimsuky (também conhecido como APT43) Lazarus Group (também conhecido como APT38) Ricochet Chollima (também conhecido como APT37)

Rússia

Berserk Bear Cozy Bear (também conhecido como APT29) Fancy Bear (também conhecido como APT28) FIN7 Gamaredon (também conhecido como Primitive Bear) Sandworm (também conhecido como APT44) Venomous Bear

Turquia