APT: Advanced Persistent Threat

Eine Advanced Persistent Threat (APT) ist eine Form eines Cyberangriffs, der im großen Maßstab durchgeführt wird und auf den Diebstahl von Daten und/oder die Ausspähung von IT-Systemen abzielt.

Das Besondere an einer APT ist, dass sie über einen langen Zeitraum hinweg durchgeführt wird und gezielt darauf ausgelegt ist, herkömmliche Sicherheitsmechanismen zu umgehen. Ziel ist es, eine bestimmte Organisation, ein Unternehmen oder sogar eine staatliche Einrichtung anzugreifen.

Die Angreifer hinter einer APT sind in der Regel hochqualifiziert und investieren erhebliche Ressourcen in den Aufbau und die Weiterentwicklung ihrer Infrastruktur, um den Angriff erfolgreich durchzuführen. Häufig wird die eingesetzte Schadsoftware speziell für das ausgewählte Ziel entwickelt.

Mit anderen Worten: Eine Advanced Persistent Threat ist ein gezielter Angriff mit einem hohen Maß an Fachwissen und Ressourcen. Durch den Einsatz verschiedener Angriffsmethoden, wie Malware, der Ausnutzung von Schwachstellen oder Social Engineering, schaffen Angreifer Möglichkeiten, ihre Ziele zu erreichen. Dazu gehören in der Regel der Aufbau und die Ausweitung ihrer Präsenz innerhalb der IT-Infrastruktur einer Organisation, um kontinuierlich Informationen nach außen zu exfiltrieren, wichtige Geschäftsprozesse oder Missionen zu beeinträchtigen oder sich eine Position zu verschaffen, die zukünftige Angriffe ermöglicht.

Darüber hinaus verfolgt eine APT ihre Ziele über einen langen Zeitraum hinweg und passt sich kontinuierlich an die Verteidigungsmaßnahmen des Opfers an, während sie den erforderlichen Zugriff aufrechterhält, um ihre Ziele zu erreichen.

Der Begriff „Threat“ (Bedrohung) beschreibt einen Angreifer oder eine Gruppe mit klar definierten böswilligen Absichten. „Persistent“ (anhaltend) bedeutet, dass sich der Angriff über einen langen Zeitraum erstreckt und oft monatelang oder sogar jahrelang unentdeckt bleibt, während gezielt Informationen gesammelt werden. „Advanced“ (fortgeschritten) weist darauf hin, dass die Angreifer über umfangreiche Kenntnisse in Programmierung und Informationssicherheit verfügen. Sie nutzen nicht nur bekannte Angriffstechniken, sondern setzen auch bislang unbekannte Schwachstellen, Zero-Day-Exploits und eigens entwickelte Methoden ein.

Je länger ein Angriff unentdeckt bleibt, desto mehr Informationen kann er sammeln. Advanced Persistent Threats können sich über Monate oder sogar Jahre unbemerkt innerhalb einer Organisation ausbreiten, bis sie ihr Ziel erreicht haben.

Vorgehensweise

In vielen Fällen ist keine besonders komplexe Strategie erforderlich, um eine APT erfolgreich durchzuführen. Das schwächste Glied jeder Cybersicherheitskette ist häufig der durchschnittliche Benutzer, der weder IT- noch Sicherheitsexperte ist und sich daher relativ leicht täuschen lässt. Cyberkriminelle sind äußerst kreativ. Bereits eine E-Mail mit einem neugierig machenden Anhang kann ausreichen, um ein System zu kompromittieren.

Im Allgemeinen lässt sich eine Advanced Persistent Threat in mehrere Phasen unterteilen:

Phase 1: Aufklärung

Zunächst sammeln die Angreifer möglichst viele Informationen aus öffentlichen und privaten Quellen, insbesondere über:

• vorhandene IT-Systeme und deren technische Eigenschaften
• eingesetzte Cybersicherheitsmaßnahmen
• verwendete Kommunikationsprotokolle
• Geschäftspartner
• Benutzerkonten und Identitäten

Auf Grundlage dieser Informationen entwickeln sie Schadsoftware, die gezielt Schwachstellen der eingesetzten Systeme ausnutzt.

Phase 2: Erstzugriff

Der Zugriff erfolgt in der Regel über:

• vertrauenswürdige Netzwerke
• infizierte Dateien
• Phishing-E-Mails
• Schwachstellen in Anwendungen

Meist wird zunächst ein Gerät im Zielnetzwerk kompromittiert und mit Malware infiziert, die den weiteren Angriff vorbereitet.

Phase 3: Etablierung eines Standbeins

Die installierte Malware richtet häufig Backdoors und verdeckte Kommunikationskanäle ein, über die sich die Angreifer unbemerkt innerhalb der kompromittierten Infrastruktur bewegen können. Zusätzlich kommen Verschleierungs- und Tarntechniken zum Einsatz, um Spuren des Angriffs zu verwischen.

Phase 4: Erweiterung des Zugriffs

Nach dem Eindringen nutzen die Angreifer unter anderem Passwort-Cracking und spezielle Werkzeuge zur Netzwerkaufklärung, um vertrauliche Informationen zu lokalisieren, ihre Präsenz auszubauen und die Kontrolle über die Infrastruktur zu erweitern.

Phase 5: Laterale Bewegung

Sobald Administratorrechte erlangt wurden, bewegen sich die Angreifer frei innerhalb des Netzwerks und versuchen, weitere Server und geschützte Systeme zu kompromittieren.

In dieser Phase können sie:

• wertvolle Informationen stehlen,
• Daten manipulieren oder zerstören,
• ihre Kontrolle über das Netzwerk weiter ausbauen.

Die gestohlenen Daten werden in der Regel über verschlüsselte Kommunikationskanäle nach außen übertragen, um eine Entdeckung zu vermeiden.

Phase 6: Beobachten, Lernen und Verbleiben

Nachdem sich die Angreifer dauerhaft etabliert haben, gewinnen sie ein umfassendes Verständnis der Systeme und ihrer Schwachstellen. Dadurch können sie jederzeit gezielt auf gewünschte Informationen zugreifen.

Je nach Zielsetzung verbleiben sie dauerhaft im Netzwerk oder ziehen sich nach Erreichen ihres Ziels zurück.

Eine der größten Gefahren einer APT besteht darin, dass selbst nach ihrer Entdeckung häufig mehrere Backdoors im System verbleiben, die den Angreifern später erneut Zugang ermöglichen.

Schutz

Advanced Persistent Threats sind gezielt auf einzelne Organisationen ausgerichtet. Deshalb reichen klassische Schutzmaßnahmen wie Antivirenprogramme und Firewalls häufig nicht aus, um solche Angriffe zuverlässig zu verhindern.

Konventionelle Antivirenlösungen erkennen Schadsoftware hauptsächlich anhand bekannter Signaturen und Verhaltensmuster. Da APTs individuell auf ihr Ziel zugeschnitten sind, ist dieser Ansatz oft nur eingeschränkt wirksam.

Eine grundlegende Schutzmaßnahme besteht daher darin, Betriebssysteme, Anwendungen und Sicherheitssoftware auf Endgeräten und Servern stets aktuell zu halten, damit bekannte Schwachstellen nicht ausgenutzt werden können.

Ebenso wichtig ist eine Unternehmens-Firewall, die das interne Netzwerk gegenüber externen Zugriffen schützt. Allerdings ist auch sie kein vollständiger Schutz, da viele Angreifer Standardports wie HTTP (80) oder HTTPS (443) verwenden, um Firewalls zu umgehen.

Deshalb sollten sämtliche Geräte, die mit dem Unternehmensnetzwerk oder dem Internet verbunden sind, geschützt werden. Wird auch nur ein einziges Gerät kompromittiert, etwa ein USB-Stick, Smartphone, Tablet, Laptop, Desktop-PC oder Server, haben die Angreifer die Netzwerkgrenze bereits überwunden.

Die Analyse des Netzwerkverkehrs mithilfe von Intrusion Detection Systems (IDS) und Intrusion Prevention Systems (IPS) ermöglicht die frühzeitige Erkennung von Angriffen und eine schnelle Reaktion. Ergänzend dazu überwachen Host-based Intrusion Detection Systems (HIDS) einzelne Endgeräte kontinuierlich und melden verdächtige Aktivitäten.

Ebenso sinnvoll ist der Einsatz von Sicherheitslösungen, die die Ausnutzung von Schwachstellen in Anwendungen erschweren und dadurch die Wahrscheinlichkeit der Ausführung von Schadcode reduzieren.

Auch Honeypot-Systeme, die bewusst angreifbar gestaltet sind, können dabei helfen, Angriffe frühzeitig zu erkennen und wertvolle Erkenntnisse über die Vorgehensweise der Angreifer zu gewinnen.

Ein entscheidender Erfolgsfaktor ist darüber hinaus das Sicherheitsbewusstsein aller Mitarbeitenden. Die Cybersicherheit einer Organisation ist immer nur so stark wie ihr schwächstes Glied. Unabhängig davon, wie viel in technische Schutzmaßnahmen investiert wird, bleibt der Mensch ein potenzieller Angriffsvektor, wenn ihm das notwendige Sicherheitsbewusstsein fehlt.

Daher sollten alle Mitarbeitenden regelmäßig zu Cybersicherheitsrisiken, Sicherheitsrichtlinien und bewährten Verfahren geschult werden. Robuste Passwortrichtlinien und regelmäßige Passwortänderungen leisten dabei einen wichtigen Beitrag.

Administrationsrechte sollten ausschließlich Personen gewährt werden, die diese zwingend benötigen. Darüber hinaus erhöht der Einsatz einer Multi-Faktor-Authentifizierung für Administratorenkonten und kritische Anwendungen den Schutz vor APT-Angriffen erheblich.

Da jeder Angriff unterschiedlich verläuft, gibt es keine universelle Schutzstrategie. Jede Organisation sollte ihre individuellen Risiken bewerten und geeignete Gegenmaßnahmen entsprechend der möglichen Auswirkungen eines erfolgreichen Angriffs entwickeln.

Ein wirksamer Schutz vor Advanced Persistent Threats erfordert deshalb einen mehrschichtigen Sicherheitsansatz. Dieser kombiniert moderne Sicherheitslösungen, erfahrene Cybersicherheitsexperten mit praktischen Fähigkeiten zur Erkennung und Beseitigung komplexer Angriffe sowie gut geschulte Mitarbeitende, die Social-Engineering-Techniken erkennen können. Gemeinsam bilden diese Maßnahmen die Grundlage für eine langfristig wirksame Verteidigung.

Protelion bietet ein umfassendes Portfolio an Sicherheitslösungen, die Unternehmen dabei unterstützen, sich erfolgreich gegen hochentwickelte Cyberangriffe sowie Zero-Day-Bedrohungen zu schützen. Weitere Informationen finden Sie unter Protelion.com.