Advanced Persistent Threat

Advanced Persistent Threat (APT; deutsch „fortgeschrittene, andauernde Bedrohung“) ist ein häufig im Bereich der Cyber-Bedrohung (Cyber-Attacke) verwendeter Begriff für einen komplexen, zielgerichteten und effektiven Angriff auf kritische IT-Infrastrukturen und vertrauliche Daten von Behörden, Groß- und Mittelstandsunternehmen aller Branchen, welche aufgrund ihres Technologievorsprungs potenzielle Opfer darstellen oder als Sprungbrett auf solche Opfer dienen können.^[1]

Im Zuge eines solchen Angriffs gehen die Angreifer sehr zielgerichtet vor und nehmen gegebenenfalls ebenso großen Aufwand auf sich, um nach dem ersten Eindringen in einen Rechner weiter in die lokale IT-Infrastruktur des Opfers vorzudringen. Das Ziel eines APT ist es, möglichst lange handlungsfähig zu bleiben, um über einen längeren Zeitraum sensible Informationen auszuspähen (Internet-Spionage) oder anderweitig Schaden anzurichten.^[2][3] Dies wird durch zwei Vorgehensweisen erreicht: entweder eine sehr aggressive Ausbreitung, welche das Opfer schlichtweg überwältigt, oder besonders zurückhaltendes Vorgehen, um dem Opfer sehr wenig konkrete Hinweise auf die Aktivität zu geben. Eine Sonderform ist die Kombination aus beiden Vorgehensweisen.

Typisch für klassische APT-Angriffe ist, dass die Täter sehr viel Zeit und Handarbeit investieren und Werkzeuge bevorzugen, die nur für einzelne, spezifische Aufgaben geeignet sind. Aufgrund des hohen Schadenpotenzials sind die Erkennung und Analyse dieser Angriffe zwingend erforderlich, gestalten sich jedoch sehr schwierig. Nur das Sammeln, Analysieren und Korrelieren von Sicherheitsinformationen aus verschiedenen Quellen kann Hinweise zur Erkennung geben.^[4]

APT-Angriffe sind stets einem bestimmten Ziel untergeordnet; für den Auftraggeber muss ein akzeptabler Nutzen (z. B. in der Form finanziellen Gewinns) aus der Erfüllung des Auftrages entstehen. Die daraus resultierenden Techniken, welche nötig sind, um die Angriffe skalierbar und wirtschaftlich zu gestalten, stellen meist die Schwachstellen dar, anhand deren der Angriff erkannt und verhindert werden kann.

Ursprünglich galt „APT“ nur als Tarnbezeichnung für eine bestimmte Form der digitalen Industrie- bzw. Wirtschaftsspionage, mittlerweile wird er z. B. von den Herstellern von Sicherheitssoftware für jede etwas fortschrittlichere Angriffsmethode verwendet.

Eine neutrale Alternative ist der Begriff „Targeted Attacks“ bzw. gezielter Angriff- oder Ausspähversuch. Selten verwendet wird „digitale“ oder „IT-Fernspionage“.

Im Gegensatz zu herkömmlichen Angriffen mit Hilfe einer Schadsoftware, bei welcher die Auswahl der Opfer nicht eingegrenzt ist, wird der Angriff lediglich auf ein bestimmtes Opfer oder zumindest eine sehr stark eingegrenzte Anzahl von Opfern durchgeführt. Ebenso wird anstelle einer einzigen Schadsoftware auf eine größere Anzahl von Techniken und Taktiken zurückgegriffen. Die Funktionen, die in der typischen Schadsoftware des kriminellen Untergrundes der Gewinnerzielung (Manipulationen von Onlinebanking, Sammeln von Zugangsdaten von Onlineshops, Unzugänglichmachung von Daten als Erpressungsgrundlage) dienen, fehlen in der Regel bei den eingesetzten Werkzeugen innerhalb von APT-Angriffen. Dies spiegelt sich auch im Vorgehen wider – die Daten, welche im Untergrundhandel verkauft werden könnten, werden von den Tätern nicht gesammelt und ignoriert. Statt Zugangsdaten zu Onlineshops suchen und sammeln die Täter Zugangsdaten zu weiteren Systemen im Opfernetz, um ihren Zugriff auszubauen und um schlussendlich auf die Daten, die dem Beschaffungsauftrag entsprechen, zugreifen zu können.

Insbesondere wird das Opfer vor einem vorgesehenen Angriff sondiert und die für den Angriff verwendete Schadsoftware möglichst optimal dem Einsatzzweck angepasst, worauf bei herkömmlichen Angriffen verzichtet wird. Die Tatsache, dass moderne IT-Netze sich unabhängig von ihrem Zweck sowohl bei den eingesetzten Technologien als auch ihrem Betrieb und der Wartung enorm ähneln, verringern den Sondierungsaufwand erheblich. Zahlreiche APT-Gruppen können über sehr lange Zeiträume – in der Regel Jahre – Techniken verwenden, die sich beim Angriff auf einige wenige Ziele als erfolgreich erwiesen haben.

Andere Infektionsvektoren sind z. B. infizierte Medien und Social Engineering. Personen, wie einzelne Hacker, werden in der Regel nicht als APT bezeichnet, da sie nur selten über größere Ressourcen und die dazu notwendigen Techniken verfügen.^[5]

In manchen Fällen konnten APT-Angriffe auf Organisationen zurückgeführt werden, die sehr ähnlich wie „herkömmliche“ IT-Dienstleister arbeiten. Softwareentwickler schreiben dabei die benötigte Schadsoftware bzw. beliebige benötigte Programme, es gibt Spezialisten für einzelne Plattformen (Windows, Linux). Letztere wiederum bilden die Arbeitskräfte, welche das Tagesgeschäft erledigen, aus. Administratoren wiederum pflegen die Internet-Infrastruktur, die das Unternehmen für Angriffe benötigt; neben der normalen Anforderung der Ausfallsicherheit besteht nur eine weitere, nämlich dass es keine für Dritte leicht nachvollziehbare Verbindung zu dem Unternehmen gibt. Um Gehälter zu bezahlen und den Kontakt mit den jeweiligen Auftraggebern zu pflegen, benötigt das Unternehmen wiederum Personen, welche diese Verwaltungsaufgaben erledigen usw. Outsourcing wird ebenfalls angewendet, z. B. wird Schadsoftware von entsprechenden Distributoren gekauft, damit das „Unternehmen“ sich ausschließlich auf die Auftragserfüllung bzw. Informationsbeschaffung konzentrieren kann.

Advanced (deutsch: fortgeschritten)

Abgrenzung zu herkömmlichen Angriffen mit Schadsoftware auf unbestimmte, nicht spezifische Opferzahlen. Ein APT hingegen erfolgt auf bestimmte, selektierte Opfer, Personen oder Institutionen mit erweiterter Technik und Taktiken.

Persistent (deutsch: andauernd)

Abgrenzung zu herkömmlichen Angriffen mit Beschränkung auf Einschleusen der Schadsoftware auf nur einen Rechner. APT hingegen nutzt den ersten infizierten Rechner nur als Sprungbrett in das lokale Netz der betroffenen IT-Struktur, bis das Hauptziel, z. B. ein Rechner mit Forschungsdaten, zum längeren Ausspionieren oder Sabotieren erreicht ist.

Threat (deutsch: Bedrohung)

Selbsterklärend – APT stellt eine Bedrohung für gefährdete Systeme dar.

Im Zusammenhang mit konkreten Angriffen werden die vermuteten Angreifer zur späteren Wiedererkennung nach Vorgehen oder vermuteter Herkunft sortiert und als APT gekennzeichnet. Dieses Schema stammt ursprünglich von Mandiant – „APT1“ ist dabei einfach die erste, „APT10“ die zehnte Gruppe, welche das Unternehmen beobachtet hat. Ein weiteres bekanntes Schema ist das von Crowdstrike, jede Gruppe erhält dabei den Namen eines für ihr Herkunftsland typischen Tieres (z. B. Panda für China, Bär für Russland) und einen leicht zu merkenden Begriff, welcher meist willkürlich auf eine Besonderheit der Gruppe deutet – wie z. B. Wicked Panda. Microsoft wiederum verwendet chemische Elemente als Bezeichnung. Eine Gruppe wird als solche betrachtet, auch wenn es sich tatsächlich um mehrere Organisationen oder Abteilungen in einer Organisation handelt, ausschlaggebend ist, dass die Vorgehensweisen und Methodiken so ähnlich sind, dass eine Unterscheidung aus der Sicht des Verteidigers unnötig ist. Die meisten Schemata vermeiden es, Begriffe zu verwenden, welche als beleidigend verstanden werden können. Das Vorgehen der Zuordnung eines Angriffes zu einer Gruppe wird als Attribution bezeichnet. Da viele Gruppen ohnehin nicht befürchten müssen, dass sie oder ihre Auftraggeber verhaftet werden oder ihrem Land Sanktionen drohen, versuchen sie nur, den direkten Bezug zum Auftraggeber und das aktuelle Interesse zu verschleiern, was die Attribution erleichtert. Auch können kurzfristige Interessen der Auftraggeber eine Gruppe dazu zwingen, schnell Ergebnisse zu liefern und die nötige Vorsicht außer Acht zu lassen.

In die öffentliche Wahrnehmung gelangten bisher unter anderem:

• APT1 oder Comment Panda, gemäß einem 2013 veröffentlichten Bericht der amerikanischen Sicherheitsfirma Mandiant werden seit 2006 Angriffe auf die USA und andere englischsprachige Länder von der mutmaßlich chinesischen Spionageeinheit APT1 verübt.
• APT10 oder Stone Panda, Cicada, Cloud Hopper führte im Frühjahr 2017 eine Serie von Angriffen auf ausgewählte Ziele im Vereinigten Königreich durch und wird der Volksrepublik China zugeordnet.^[6]
• APT19, auch Codoso, eine mutmaßlich chinesische Gruppe, die verschiedenste Industrien ausspioniert, im Jahr 2017 gab es eine große Phishing-Attacke gegen Anwaltsfirmen^[7][8]
• APT28, eine auch als Fancy Bear oder Sofacy Group bekannte Gruppe, die dem russischen Militärgeheimdienst GRU zugeordnet wird und unter anderem für Hackerangriffe auf den Deutschen Bundestag, das DNC,^[9] und auf verschiedene Ziele im Zusammenhang mit dem Ukrainekrieg und in Georgien verantwortlich sein soll.^[10]
• APT29, eine auch als Cozy Bear bekannte Gruppe, die der Russischen Föderation zugeordnet wird und unter anderem im Vorfeld der amerikanischen Präsidentschaftswahlen 2016 in das Computersystem des DNC einbrach und das erbeutete Material Wikileaks zugespielt haben soll.^[9][11]
• APT32 oder Ocean Lotus, eine Gruppe, welche auch einzelne Personen wie Menschenrechtler im Visier hat und wahrscheinlich politische motivierte Aufträge Vietnams ausführt^[12]
• APT33 oder Refined Kitten, eine vermutlich iranische Gruppe, die seit ca. 2013 aktiv ist. Mit Hilfe von Spearphishing und direkteren Methode, wie Brute-force attacks wurden Firmen der Luftfahrtindustrie sowie Energieunternehmen in den USA, Südkorea und Saudi-Arabien angegriffen.^[13][14]
• APT34 oder Helix Kitten, eine zunächst nach GCHQ- und NSA-Einschätzungen dem Iran zugeschriebene Operation von 2018/2019. Die Software und technische Infrastruktur sei aber im späteren Verlauf durch Hacker der Gruppe Turla übernommen worden, die dem FSB der Russischen Föderation zugerechnet wird. So konnte die Turla-Operation Daten von Systemen stehlen, die die Iraner zuvor mit Spionagesoftware infiziert hatten. Weiter sei auch eigene Turla-Software der iranischen Software nachempfunden worden, um deren Herkunft zu verschleiern.^[15][16]
• APT37 vermutlich nordkoreanische Gruppe, von 2012 bis 2017 aktiv gegen südkoreanische Firmen, danach aktiv in Japan, Vietnam und dem Mittleren Osten^[17]
• APT38 vermutlich nordkoreanische Gruppe, sie wird für einen 100-Millionen-Dollar-Bankraub verantwortlich gemacht^[18]
• APT41 oder Wicked Panda, eine umgangssprachlich als Winnti bezeichnete Gruppe, die international sehr aktiv ist und in Deutschland für Angriffe auf prominente Ziele verantwortlich gemacht wird, unter anderem Henkel, Covestro, Bayer, Siemens, BASF sowie Thyssenkrupp.^[19]

• GhostEmperor; auch bekannt als FamousSparrow, Salt Typhoon, UNC2286

• Informationssicherheit
• KGB-Hack
• Internet Explorer #Operation Aurora
• Operation Shady RAT
• Stuxnet

• Angriffe auf Unternehmens- und Kundendaten bei Sony, Epsilon oder RSA (PDF; 710 kB) – deutsch
• Simon Hülsbömer: Der Cyber-Krieg hat gerade erst begonnen – 5. Februar 2013
• Advanced Threat Resource Center – englisch

1. ↑ Advanced Persistent Threat – Übersicht ceilers-news.de – abgerufen am 19. März 2013
2. ↑ APT – Verteidigung von Innen gegen Angriffe von Außen ca.com – abgerufen am 19. März 2013
3. ↑ Google Under Attack – The High Cost of Doing Business in China spiegel.de – abgerufen am 19. März 2013
4. ↑ Fraunhofer FOKUS Kompetenzzentrum Öffentliche IT: Das ÖFIT-Trendsonar der IT-Sicherheit - Advanced Persistent Threat Erkennung und Analyse. April 2016, abgerufen am 30. Mai 2016. 
5. ↑ ISACA Erhebung zur Internetsicherheit – Jedes fünfte Unternehmen ist APT Angriffen ausgesetzt info-point-security.com – abgerufen am 19. März 2013
6. ↑ "UK firms targeted by China-based 'systematic' global hacking operation" The Telegraph vom 4. April 2017
7. ↑ https://attack.mitre.org/groups/G0073/
8. ↑ Archivierte Kopie (Memento des Originals vom 16. Januar 2021 im Internet Archive)  Info: Der Archivlink wurde automatisch eingesetzt und noch nicht geprüft. Bitte prüfe Original- und Archivlink gemäß Anleitung und entferne dann diesen Hinweis.@1@2Vorlage:Webachiv/IABot/malpedia.caad.fkie.fraunhofer.de
9. ↑ ^{a b} Thomas Rid: "All Signs Point to Russia Being Behind the DNC Hack" vice.com vom 25. Juli 2016
10. ↑ Eric Lipton, David E. Sanger, Scott Shane: The Perfect Weapon: How Russian Cyberpower Invaded the U.S. In: The New York Times. 13. Dezember 2016, abgerufen am 29. August 2022. 
11. ↑ Sam Thielman: "DNC email leak: Russian hackers Cozy Bear and Fancy Bear behind breach" The Guardian vom 26. Juli 2016
12. ↑ B. R. Data: Im Visier vietnamesischer Hacker. Abgerufen am 8. Oktober 2020. 
13. ↑ https://www.mei.edu/publications/iranian-apts-overview
14. ↑ https://attack.mitre.org/groups/G0064/
15. ↑ "Hacking the hackers: Russian group 'hijacked' Iran spy operation" aljazeera.com vom 21. Oktober 2019
16. ↑ "NSA und GCHQ: Russische Hacker kaperten iranische Hacker-Infrastruktur" Heise.de vom 21. Oktober 2019
17. ↑ https://malpedia.caad.fkie.fraunhofer.de/actor/apt37
18. ↑ North Korea's APT38 hacking group behind bank heists of over $100 million
19. ↑ B. R. Data: Winnti: Angriff auf das Herz der deutschen Industrie. Abgerufen am 8. Oktober 2020.