APT1
APT war eine staatlich gesponserte Gruppe, die dafür bekannt war, große Datenmengen von großen Unternehmen und Regierungsbehörden zu stehlen. Obwohl sie durch Cybersecurity-Forschung aufgedeckt wurde, geht man davon aus, dass die Taktiken dieser Bedrohungsakteure auch heute noch angewandt werden.
Der Ursprung von APT1
APT1 wurde erstmals im Jahr 2006 beobachtet und wird der chinesischen Volksbefreiungsarmee (PLA) zugeschrieben. Als eine der weltweit produktivsten nationalstaatlichen Angriffsgruppen nutzte sie ausgeklügelte Techniken, um sich der Entdeckung zu entziehen und im Laufe von sieben Jahren Hunderte von Terabytes an Daten von mehr als 140 Organisationen zu stehlen.
Die Gruppe operierte bis Februar 2013, als sie ihre Angriffe einschränkte, nachdem sie durch einen ausführlichen Bericht über Cybersicherheitsforschung aufgedeckt worden war. Seitdem haben Unternehmen für Sicherheitssoftware Angriffe identifiziert, bei denen einige der ursprünglichen Techniken von APT1 wiederverwendet wurden.
Quellen: Mandiant, SecurityWeek,,OCD
Ziele
Die Ziele von APT1
Länder im Visier von APT1
Laut Mandiant, dem Unternehmen hinter dem Bericht, der APT1 aufdeckte, befinden sich 87 % der von der Gruppe angegriffenen Unternehmen in englischsprachigen Ländern. Besonders erwähnenswert ist, dass die Gruppe mit erfolgreichen Hacks von mehr als 100 US-Unternehmen in Verbindung gebracht wurde.
Von APT1 anvisierte Branchen
APT1 steckte wahrscheinlich hinter Angriffen auf Organisationen in einer Vielzahl von Branchen mit kritischer Infrastruktur, darunter Regierungsbehörden, globale Unternehmen und Verteidigungsunternehmen.
Von APT1 anvisierte Branchen
APT1 steckte wahrscheinlich hinter Angriffen auf Organisationen in einer Vielzahl von Branchen mit kritischer Infrastruktur, darunter Regierungsbehörden, globale Unternehmen und Verteidigungsunternehmen.
APT1-Opfer
Es wird vermutet, dass APT1 Hunderte von Terabyte an Daten von mindestens 141 Organisationen gestohlen hat, was beweist, dass sie in der Lage sind, Dutzende von Organisationen gleichzeitig zu bestehlen.
Quelle: Mandiant
Angriffsmethode
APT1-Angriffsmethode
APT1 verwendet Spearphishing-E-Mails mit bösartigen Anhängen oder Links, um in einem Netzwerk Fuß zu fassen.
Die Gruppe nutzt Schwachstellen aus und verwendet Tools wie Mimikatz, um sich erweiterte Rechte zu verschaffen.
Sie verwenden Maskierungstaktiken, wie z. B. die Benennung von malware nach legitimen Prozessen.
APT1 hat mit Tools wie Mimikatz Anmeldedaten aus dem LSASS-Speicher entnommen.
Befehle wie tasklist, Netznutzerund ipconfig /all werden verwendet, um das Netzwerk und das System des Opfers abzubilden.
Tools wie RDP ermöglichen es ihnen, sich innerhalb des Netzwerks zwischen den Systemen zu bewegen.
Sie verwenden automatisierte Skripte und Tools wie GETMAIL, um E-Mails und andere wertvolle Dateien zu sammeln.
APT1 nutzt die Windows-Befehlsshell und Batch-Skripte zur Automatisierung.
Die gesammelten Daten werden vor der Exfiltration häufig mit RAR komprimiert.
Durch ausgefeilte Umgehungstechniken konnte APT1 große Mengen an geistigem Eigentum stehlen und über einen Zeitraum von zehn Monaten bis zu 6,5 Terabyte an komprimierten Daten von einer einzigen Organisation erbeuten.
Erster Zugang
APT1 verwendet Spearphishing-E-Mails mit bösartigen Anhängen oder Links, um in einem Netzwerk Fuß zu fassen.
Rechte-Eskalation
Die Gruppe nutzt Schwachstellen aus und verwendet Tools wie Mimikatz, um sich erweiterte Rechte zu verschaffen.
Verteidigung Umgehung
Sie verwenden Maskierungstaktiken, wie z. B. die Benennung von malware nach legitimen Prozessen.
Zugang zu Anmeldeinformationen
APT1 hat mit Tools wie Mimikatz Anmeldedaten aus dem LSASS-Speicher entnommen.
Entdeckung
Befehle wie tasklist, Netznutzerund ipconfig /all werden verwendet, um das Netzwerk und das System des Opfers abzubilden.
Seitliche Bewegung
Tools wie RDP ermöglichen es ihnen, sich innerhalb des Netzwerks zwischen den Systemen zu bewegen.
Sammlung
Sie verwenden automatisierte Skripte und Tools wie GETMAIL, um E-Mails und andere wertvolle Dateien zu sammeln.
Ausführung
APT1 nutzt die Windows-Befehlsshell und Batch-Skripte zur Automatisierung.
Exfiltration
Die gesammelten Daten werden vor der Exfiltration häufig mit RAR komprimiert.
Auswirkungen
Durch ausgefeilte Umgehungstechniken konnte APT1 große Mengen an geistigem Eigentum stehlen und über einen Zeitraum von zehn Monaten bis zu 6,5 Terabyte an komprimierten Daten von einer einzigen Organisation erbeuten.
MITRE ATT&CK Kartierung
APT1 TTPs
TA0001: Initial Access
T1566
Phishing
TA0002: Execution
T1059
Command and Scripting Interpreter
TA0003: Persistence
No items found.
TA0004: Privilege Escalation
No items found.
TA0005: Defense Evasion
T1550
Use Alternate Authentication Material
TA0006: Credential Access
T1003
OS Credential Dumping
TA0007: Discovery
T1087
Account Discovery
T1049
System Network Connections Discovery
T1016
System Network Configuration Discovery
TA0008: Lateral Movement
T1550
Use Alternate Authentication Material
T1021
Remote Services
TA0009: Collection
T1560
Archive Collected Data
T1119
Automated Collection
T1114
Email Collection
T1005
Data from Local System
TA0011: Command and Control
No items found.
TA0010: Exfiltration
No items found.
TA0040: Impact
No items found.
Plattform-Detektionen
Wie man Bedrohungen wie APT1 mit Vectra AI AI erkennt
Tausende von Unternehmen verlassen sich auf leistungsstarke KI-gestützte Erkennungsfunktionen, um Angriffe zu erkennen und zu stoppen, bevor es zu spät ist.
Häufig gestellte Fragen
Was ist APT1?
APT1 ist eine hochentwickelte, anhaltende Bedrohung (Advanced Persistent Threat, APT) mit Ursprung in China. Es wird angenommen, dass es sich um eine der produktivsten nationalstaatlichen Angriffsgruppen aller Zeiten handelt, basierend auf der schieren Menge der gestohlenen Daten.
Wer steckt hinter APT1?
Es wird vermutet, dass APT1 mit der chinesischen Volksbefreiungsarmee (People's Liberation Army, PLA) in Verbindung steht. Auch wenn es sich nicht um eine offizielle Einrichtung der chinesischen Regierung handelte, glauben die meisten Cybersecurity-Forscher, dass die Regierung zumindest von den Aktivitäten wusste.
Was ist das Hauptziel der APT1?
APT1 konzentriert sich auf Cyberspionage, den Diebstahl von geistigem Eigentum und sensiblen Daten zum Nutzen der strategischen Interessen Chinas.
Welche Instrumente und Techniken verwendet APT1?
APT1 ist dafür bekannt, dass sie fortschrittliche Taktiken, Techniken und Verfahren (TTPs) einsetzt, um sich der Entdeckung zu entziehen und eine dauerhafte Präsenz in den Netzwerken ihrer Opfer aufrechtzuerhalten. Diese reichen von phishing bis hin zum Remote Desktop Protocol.
Wie lange bleibt APT1 typischerweise in einem Netz?
Sie halten den Zugang oft über längere Zeiträume aufrecht, indem sie ihre Persistenztechniken nutzen.
Welche Branchen sind am stärksten gefährdet?
Luft- und Raumfahrt, Verteidigung und Telekommunikation sind vorrangige Ziele für APT1.
Welche Rolle spielt die Infrastruktur bei den Operationen von APT1?
APT1 registriert und kapert Domains für phishing, Command and Control und Datenexfiltration.
Was sind die Folgen eines APT-Angriffs?
Sobald eine APT die Sicherheitsmaßnahmen umgeht, verwenden die Angreifer hochentwickelte Techniken, um sich im Netzwerk zu bewegen und Zugang zu privilegierten Konten zu erhalten. APT1 war besonders geschickt darin, sich der Entdeckung zu entziehen, so dass die Gruppe über Monate oder sogar Jahre unentdeckt bleiben konnte. Das Ergebnis sind riesige Mengen an gestohlenen Daten.
Wie lassen sich APT-Angriffe am besten verhindern?
Obwohl eine 100-prozentige Prävention unmöglich ist, können Sicherheitsmaßnahmen dazu beitragen, APT-Angriffe in Schach zu halten. Dazu gehören das Erzwingen starker Passwörter, die Schulung von Mitarbeitern über die Gefahren von phishing und Authentifizierungsprotokolle.
Wie können Unternehmen APT-Angriffe erkennen und stoppen?
Sobald ein APT-Angriff Ihre Präventionsmaßnahmen umgeht, ist eine Erkennung in Echtzeit unerlässlich. Der beste Weg, um Angreifer zu finden und zu stoppen, sind KI-gesteuerte Erkennungen, die die neuesten Taktiken, Techniken und Verfahren identifizieren und lediglich verdächtige Aktivitäten von echten Bedrohungen unterscheiden können.