Advanced Persistent Threat

Advanced Persistent Threat (APT, pol. „zaawansowane trwałe zagrożenie”) – kompleksowe działania organizacyjne, których autorstwo przypisuje się zazwyczaj dużym grupom przestępczym, organizacjom o wysokim poziomie profesjonalizacji, a nawet państwom prowadzącym długofalowe kampanie ukierunkowane na uzyskanie nieautoryzowanego dostępu do krytycznych zasobów informatycznych i ich niezauważalne wykorzystywanie przez długi czas[1]. Termin ukuto w Siłach Powietrznych Stanów Zjednoczonych około 2006 roku, a do powszechnego obiegu wszedł po ujawnieniu ataku na Google (operacja „Aurora”, 2010) i publikacji raportu firmy Mandiant o chińskiej grupie APT1 (2013)[2][3]. Mianem grup APT określa się też same zespoły stojące za tego rodzaju kampaniami[4].

Definicja i charakterystyka

Według definicji amerykańskiego instytutu standaryzacyjnego NIST APT to przeciwnik dysponujący zaawansowaną wiedzą specjalistyczną i znacznymi zasobami, które pozwalają mu realizować cele przy użyciu wielu wektorów ataku (m.in. cybernetycznych, fizycznych i opartych na wprowadzaniu w błąd), wielokrotnie ponawiać próby przez długi czas, dostosowywać się do działań obrońców i utrzymywać poziom dostępu potrzebny do realizacji celów[4]. W rozwinięciu skrótu „advanced” oznacza dostęp do pełnego spektrum technik rozpoznania i włamań (od narzędzi powszechnie dostępnych po tworzone na zamówienie), „persistent” – realizowanie z góry określonych, długoterminowych celów zamiast oportunistycznego poszukiwania korzyści, a „threat” – skoordynowane działanie zmotywowanych, zorganizowanych i dobrze finansowanych ludzi, nie zaś samoczynnie rozprzestrzeniającego się kodu[5].

APT stanowią przykład strategii cyberoperacji o potencjalnie paramilitarnym charakterze, w których dochodzi do precyzyjnego planowania działań, stosowania wyrafinowanych technik inżynierii społecznej (np. spear phishing), a także wykorzystania rozproszonych sieci agentów i narzędzi do długoterminowej eksfiltracji danych[1]. Wyróżniają się wyższym niż w przypadku tradycyjnych ataków poziomem wyrafinowania, zdolnością szybkiej koordynacji działań oraz coraz bardziej sformalizowanymi strukturami współpracy, umożliwiającymi skuteczne pokonanie zaawansowanych mechanizmów bezpieczeństwa – często przez przejęcie przyczółków w infrastrukturze organizacji i eskalację uprawnień od wewnątrz[1]. Motywacje intruzów są ukierunkowane zarówno na cele polityczne czy militarne, jak i na długoterminowe korzyści finansowe, a kluczowymi cechami tego rodzaju przedsięwzięć pozostają wytrwałość, umiejętność ukrywania się w środowisku ofiary oraz konsekwencja w osiąganiu założonych celów strategicznych[1].

W odróżnieniu od masowych kampanii złośliwego oprogramowania atak APT jest wymierzony w konkretną organizację lub wąską grupę ofiar, poprzedzony rozpoznaniem celu i prowadzony z użyciem wielu technik naraz; napastnicy zwykle ignorują przy tym dane, które nie odpowiadają ich „zleceniu” (np. dane kart płatniczych), koncentrując się na poświadczeniach otwierających dostęp do kolejnych systemów ofiary[5]. Interdyscyplinarny charakter ataków APT, integrujący wiedzę techniczną, socjotechnikę oraz inżynierię bezpieczeństwa, powoduje, że zagrożenia te są szczególnie trudne do wykrycia i neutralizacji, nawet przy zastosowaniu zaawansowanych systemów wykrywania włamań i procedur reagowania na incydenty[6][1].

Historia

Ukucie terminu przypisuje się pułkownikowi Gregowi Rattrayowi z Sił Powietrznych Stanów Zjednoczonych (około 2006 roku); określenie powstało jako umowna etykieta pozwalająca omawiać z partnerami cywilnymi długotrwałe kampanie szpiegowskie bez ujawniania niejawnej atrybucji[2]. Szerokiej opinii publicznej zjawisko stało się znane w styczniu 2010 roku, gdy Google ujawniło wymierzone w siebie i kilkadziesiąt innych firm włamanie nazwane później operacją „Aurora”, którego źródła wskazywały na Chiny[7]. Przełomem był opublikowany w lutym 2013 roku raport firmy Mandiant APT1: Exposing One of China’s Cyber Espionage Units, który szczegółowo udokumentował wieloletnią działalność pojedynczej grupy i powiązał ją z jednostką 61398 Chińskiej Armii Ludowo-Wyzwoleńczej[3]. Za przykład ataku klasy APT uznawany jest także robak Stuxnet, użyty przeciwko irańskiemu programowi jądrowemu[5].

Przebieg ataku

Kampanie APT opisuje się za pomocą modeli faz ataku, takich jak cyber kill chain opracowany przez koncern Lockheed Martin (od rozpoznania, przez uzbrojenie i dostarczenie złośliwego kodu, po działania na celu)[8]. Na podstawie analizowanych incydentów Mandiant wyróżnił typowy cykl życia ataku: początkowa kompromitacja (zwykle spear phishing lub zainfekowana strona odwiedzana przez pracowników ofiary, często z użyciem podatności dnia zerowego), ustanowienie przyczółka (instalacja backdoorów), eskalacja uprawnień (m.in. łamanie haseł administracyjnych), rozpoznanie wewnętrzne, ruch boczny na kolejne serwery i stacje robocze, utrzymanie obecności oraz realizacja celu – eksfiltracja danych[3]. W incydentach opisanych w raporcie APT1 napastnicy kontrolowali sieci ofiar średnio przez rok, a w skrajnym przypadku przez prawie pięć lat[3].

Taktyki, techniki i procedury (TTP) grup APT katalogowane są we frameworku MITRE ATT&CK, który dokumentuje też przypisywane poszczególnym grupom kampanie i narzędzia; baza ta stanowi wspólny język analityków zespołów obronnych oraz red teamów emulujących działania przeciwnika[9].

Nazewnictwo i atrybucja

Nie istnieje jednolity system nazewnictwa grup APT – firmy analityczne prowadzą własne schematy, a nazwy nadawane przez różne zespoły badawcze mogą odnosić się do nakładających się, lecz nie identycznych zbiorów aktywności[10]. Mandiant stosuje numerowane oznaczenia w kategoriach APT, FIN i UNC, CrowdStrike przypisuje krajom i kategoriom nazwy zwierząt (np. „Bear” dla Rosji, „Panda” dla Chin, „Kitten” dla Iranu, „Spider” dla grup czysto przestępczych), Dragos używa nazw minerałów, a Microsoft – po porzuceniu w kwietniu 2023 roku nazw pierwiastków chemicznych – nazw zjawisk pogodowych (np. Volt Typhoon)[10][11]. Stąd ta sama grupa funkcjonuje pod wieloma nazwami, a publiczna atrybucja kampanii do konkretnego państwa pozostaje przedmiotem analiz i sporów[10].

Znane grupy

Wśród grup APT udokumentowanych w publicznie dostępnych raportach analitycznych i aktach oskarżenia znajdują się m.in.:

  • APT1 (Comment Crew) – chińska grupa powiązana w raporcie Mandianta z jednostką 61398 Chińskiej Armii Ludowo-Wyzwoleńczej, której przypisano włamania do co najmniej 141 organizacji w latach 2006–2013; władze Chin zaprzeczyły tym ustaleniom[3];
  • APT28 (Fancy Bear, Sofacy) – grupa wiązana z rosyjskim wywiadem wojskowym GRU, znana m.in. z ataków na instytucje polityczne i rządowe państw NATO[12];
  • APT29 (Cozy Bear) – grupa przypisywana rosyjskiej Służbie Wywiadu Zagranicznego (SWR), której amerykańskie agencje przypisały m.in. kompromitację łańcucha dostaw oprogramowania SolarWinds ujawnioną w 2020 roku[13];
  • Lazarus Group – grupa powiązana z rządem Korei Północnej; amerykański akt oskarżenia z 2018 roku przypisał jej m.in. atak na Sony Pictures Entertainment (2014), kradzież 81 milionów dolarów z banku centralnego Bangladeszu (2016) i ransomware WannaCry (2017)[14];
  • Equation Group – opisana w 2015 roku przez Kaspersky Lab grupa o wyjątkowo zaawansowanym warsztacie, wiązana przez badaczy i media z amerykańską agencją NSA[15][16].

Za jedną z pierwszych udokumentowanych kampanii tego typu uznawana jest sieć szpiegowska GhostNet, wykryta w 2009 roku w ponad stu państwach[17].

Polska

Polska regularnie znajduje się wśród celów kampanii APT. W maju 2024 roku CERT Polska (CSIRT NASK) i CSIRT MON udokumentowały szeroko zakrojoną kampanię złośliwego oprogramowania grupy APT28 wymierzoną w polskie instytucje rządowe[12]. Wcześniej, w 2021 roku, pełnomocnik rządu do spraw cyberbezpieczeństwa poinformował o działaniach grupy UNC1151, stojącej za operacją dezinformacyjną „Ghostwriter”, obejmujących m.in. włamania na skrzynki pocztowe osób pełniących wysokie funkcje państwowe (tzw. afera mailowa); niezależne analizy powiązały tę grupę z Białorusią[18][19]. Działalność grup APT, w tym kampanie wymierzone w administrację i infrastrukturę krytyczną, opisują coroczne raporty CSIRT GOV i CERT Polska[20].

Zobacz też

Przypisy

  1. 1 2 3 4 5 Wawrzyniak 2025 ↓, s. 57.
  2. 1 2 Beth Binde, Russ McRee, Terrence O’Connor: Assessing Outbound Traffic to Uncover Advanced Persistent Threat. SANS Technology Institute, 2011. [dostęp 2026-08-21]. [zarchiwizowane z tego adresu (2013-06-26)]. (ang.).
  3. 1 2 3 4 5 APT1: Exposing One of China’s Cyber Espionage Units. Mandiant, 2013-02. [dostęp 2026-08-21]. (ang.).
  4. 1 2 Advanced persistent threat (APT) – Glossary. National Institute of Standards and Technology, Computer Security Resource Center. [dostęp 2026-08-21]. (ang.).
  5. 1 2 3 What Is an Advanced Persistent Threat (APT)?. Kaspersky. [dostęp 2026-08-21]. (ang.).
  6. ↑ Atif Ahmad, Jeb Webb, Kevin C. Desouza, James Boorman. Strategically-motivated advanced persistent threat: Definition, process, tactics and a disinformation model of counterattack. „Computers & Security”. 86, s. 402–418, 2019-09. DOI: 10.1016/j.cose.2019.07.001. [dostęp 2026-08-29]. (ang.).
  7. ↑ David Drummond: A new approach to China. Official Google Blog, 2010-01-12. [dostęp 2026-08-21]. (ang.).
  8. ↑ Cyber Kill Chain. Lockheed Martin. [dostęp 2026-08-21]. (ang.).
  9. ↑ Groups – MITRE ATT&CK. MITRE. [dostęp 2026-08-21]. (ang.).
  10. 1 2 3 Threat Group Naming Schemes In Cyber Threat Intelligence. Curated Intelligence, 2022-05-20. [dostęp 2026-08-21]. (ang.).
  11. ↑ John Lambert: Microsoft shifts to a new threat actor naming taxonomy. Microsoft, 2023-04-18. [dostęp 2026-08-21]. (ang.).
  12. 1 2 Kampania APT28 skierowana przeciwko polskim instytucjom rządowym. CERT Polska, 2024-05-08. [dostęp 2026-08-21]. (pol.).
  13. ↑ Russian SVR Targets U.S. and Allied Networks. Cybersecurity and Infrastructure Security Agency, 2021-04-26. [dostęp 2026-08-21]. (ang.).
  14. ↑ North Korean Regime-Backed Programmer Charged With Conspiracy to Conduct Multiple Cyber Attacks and Intrusions. United States Department of Justice, 2018-09-06. [dostęp 2026-08-21]. (ang.).
  15. ↑ Inside the EquationDrug Espionage Platform. Kaspersky Lab Securelist, 2015-03-11. [dostęp 2026-08-21]. (ang.).
  16. ↑ Dan Goodin: How „omnipotent” hackers tied to NSA hid for 14 years – and were found at last. Ars Technica, 2015-02-16. [dostęp 2026-08-21]. (ang.).
  17. ↑ Ronald Deibert i in.: Tracking GhostNet: investigating a cyber espionage network. The Munk Centre for International Studies, University of Toronto, 2009-03-28. [dostęp 2026-08-21]. (ang.).
  18. ↑ Komunikat Pełnomocnika Rządu ds. Cyberbezpieczeństwa. Baza wiedzy – Portal Gov.pl, 2021-06-22. [dostęp 2026-08-21]. (pol.).
  19. ↑ Afera mailowa. Raport ekspertów wskazuje na powiązania z Białorusią. CyberDefence24, 2021-11. [dostęp 2026-08-21]. (pol.).
  20. ↑ Grupy APT, haktywiści i ataki na łańcuch dostaw – raport CSIRT GOV 2024. Sekurak, 2025. [dostęp 2026-08-21]. (pol.).

Bibliografia

  • Dariusz Wawrzyniak, Cyberbezpieczeństwo systemu finansowego, wyd. 1, Wydawnictwo Uniwersytetu Ekonomicznego we Wrocławiu, 2025, s. 57, DOI: 10.15611/2025.97.9, ISBN 978-83-68394-97-9.
This article is issued from Wikipedia. The text is available under Creative Commons Attribution-Share Alike 4.0 unless otherwise noted. Additional terms may apply for the media files.