APT, Advanced Persistent Threat: cosa sono e chi colpiscono davvero

Advanced Persistent Threat è un’etichetta che compare in molti articoli e in pochi incidenti reali. Indica un tipo di attaccante preciso, con risorse e obiettivi che la maggior parte delle aziende non incontra mai direttamente.

Vale però la pena capire cosa sia, per due ragioni. La prima è distinguerlo dal ransomware, con cui viene confuso di continuo. La seconda è che le tecniche di un APT sono le stesse che si usano contro chiunque. Sono quelle che un penetration test riproduce.

1. Che cosa sono gli APT
2. Perché APT non è un sinonimo di ransomware
3. Chi è un bersaglio e chi lo è di riflesso
4. Come si svolge un attacco persistente
5. Che cosa si può verificare

Che cosa sono gli APT

Un Advanced Persistent Threat è un’operazione di intrusione condotta da un gruppo sponsorizzato da uno Stato, con budget, personale e tempo a disposizione. L’obiettivo non è bloccare o danneggiare, ma entrare in una rete e restarci a lungo per sottrarre informazioni senza essere scoperti.

Le tre parole dicono già quello che conta.

1. Advanced: strumenti sviluppati apposta, spesso vulnerabilità non ancora note al produttore, come descritto parlando di exploit zero-day.
2. Persistent: l’accesso si mantiene per mesi o anni, non per il tempo di un colpo.
3. Threat: l’obiettivo è lo spionaggio, industriale o politico, non il guadagno immediato.

I gruppi sono catalogati con nomi e numeri.
La maggior parte è riconducibile a Cina, Russia, Corea del Nord e Iran. Ne abbiamo descritto uno nei dettagli, con le sue tecniche, nell’analisi del gruppo ForumTroll.

Perché APT non è un sinonimo di ransomware

La confusione nasce dal fatto che le due tecniche di attacco usano vie d’ingresso simili. Ma la logica è opposta.

Un gruppo ransomware vuole farsi notare il prima possibile, perché il riscatto si chiede solo dopo aver cifrato e bloccato tutto.
Il tempo che il ransomware trascorre dentro la rete si misura in giorni o settimane. Lo raccontiamo anche in un approfondimento dedicato nel nostro blog intitolato:  come il ransomware entra in un’azienda.

Un APT vuole il contrario: affinché possa essere efficace non deve mai forsi notare.
Non cifra, non blocca, non chiede niente. Copia. Il suo successo si misura in base a quanto tempo riesce a rimanere silente nella rete della vittima senza che nessuno se ne accorga.

La differenza pratica per un’azienda è che l’attacco ransomware produce un evento visibile, un Advanced Persistent Threat produce un’assenza di eventi.

Chi è un bersaglio e chi lo è di riflesso

Un’azienda manifatturiera italiana da trecento dipendenti non è il bersaglio di un APT.
Non ha informazioni che interessino a uno Stato e non vale il tempo di un gruppo che lavora per mesi su un obiettivo. Chi vi vende protezione “contro gli APT” sta usando la paura sbagliata.

Ci sono però due situazioni in cui un’azienda normale finisce dentro un attacco di questo tipo senza esserne il bersaglio.

La prima è quando siete fornitori di qualcuno che lo è.
Se lavorate per un ministero, per un’infrastruttura critica, per un’azienda della difesa o per un grande gruppo industriale, la vostra rete è una porta laterale verso la loro. Entrare da voi è più facile che entrare da loro. È la logica degli attacchi alla catena di fornitura ed è anche il motivo per cui i vostri clienti soggetti a NIS2 vi stanno mandando il questionario di sicurezza.

La seconda è quando avete qualcosa che vale.
Un brevetto, un processo produttivo, una formula, un elenco di clienti in un settore strategico. Non serve essere grandi per possedere un’informazione che a qualcuno interessa copiare.

In entrambi i casi la domanda giusta non è “siamo un bersaglio”.
È “cosa raggiungerebbe chi entra”. E a questa si risponde solo guardando la rete.

Come si svolge un attacco persistente

Le fasi sono quelle di qualsiasi intrusione condotta da persone. Quello che cambia è il ritmo: ogni passaggio è più lento, più preparato e più silenzioso.

L’ingresso avviene per le vie che conosciamo tutti.
Una mail costruita su misura per una persona precisa, che è la tecnica dello spear phishing. Un servizio esposto su internet con una vulnerabilità che nessuno ha corretto. Credenziali valide comprate o rubate altrove.
La differenza rispetto a un attacco opportunistico sta nella preparazione: settimane passate a studiare chi lavora dove, con quali strumenti, con quali fornitori.

Poi viene la ricognizione interna.
Una volta dentro, l’attaccante mappa la rete, individua i sistemi che contano e capisce quali utenze li amministrano. Lo fa usando gli strumenti che trova già installati, così da non introdurre nulla che un antivirus possa riconoscere.

Poi l’espansione.
Da un’utenza qualunque si passa a una con privilegi, come abbiamo descritto parlando di privilege escalation. Da una macchina si passa alle altre, ed è il movimento laterale. In questa fase una rete piatta e una rete segmentata portano a due risultati completamente diversi.

Infine il consolidamento e l’esfiltrazione.
Il consolidamento è l’apertura di più vie di rientro, così che se ne viene chiusa una l’accesso non si interrompe. L’esfiltrazione è la copia dei dati verso l’esterno, fatta a piccole quantità e su canali che assomigliano al traffico normale.

Che cosa si può verificare

Scoprire un APT che è già dentro richiede monitoraggio continuo e analisi dei registri. Sono attività di un centro operativo e non le eroghiamo.

Quello che si può fare prima è capire quanto sarebbe facile il percorso che abbiamo appena descritto.

Un penetration test parte da un accesso realistico come un servizio esposto o un’utenza ordinaria e verifica fin dove porta.
Quali privilegi si ottengono. Quali sistemi si raggiungono. Quali dati sono a portata di mano.
Non ha la pazienza di un APT ma percorre la sua stessa strada. E se quella strada è corta, non serve un attaccante sofisticato per arrivare in fondo.

La misura che cambia l’esito è la segmentazione.
Una rete divisa in aree limita quello che un singolo accesso consegna e trasforma un’intrusione totale in una circoscritta. È una cosa che si verifica. Nella maggior parte delle reti aziendali non è fatta.