حملات APT چگونه انجام می‌شود و بررسی آن در ایران

حمله APT چیست؟

APT (Advanced Persistent Threat) به معنای «تهدید پیشرفته و مداوم» نوعی حمله سایبری بسیار هدفمند و پیچیده است که معمولاً توسط گروه‌های سازمان‌یافته، دولتی یا شبه‌دولتی انجام می‌شود. برخلاف حملات معمول سایبری که اغلب کوتاه‌مدت و گسترده‌اند، حملات APT با برنامه‌ریزی بلندمدت، شناسایی دقیق هدف و استفاده از روش‌های پیشرفته نفوذ طراحی می‌شوند. هدف اصلی این حملات معمولاً جاسوسی اطلاعاتی، سرقت داده‌های حساس، کنترل زیرساخت‌های حیاتی یا ایجاد اختلال در سازمان‌ها و نهادهای مهم است. مهاجمان در APT تلاش می‌کنند برای مدت طولانی بدون شناسایی شدن در سیستم هدف باقی بمانند و به‌صورت پیوسته اطلاعات جمع‌آوری یا عملیات مخرب انجام دهند.

با توجه به ماهیت پیچیده و پنهان این تهدیدات، تحلیل و گزارش APTها از اهمیت بسیار بالایی برخوردار است. شناسایی الگوهای رفتاری مهاجمان، ابزارها و روش‌های مورد استفاده (TTPs)، و اهداف آن‌ها به متخصصان امنیت سایبری کمک می‌کند تا درک عمیق‌تری از تهدیدات موجود به دست آورند. گزارش‌های تحلیلی APT نه‌تنها باعث افزایش آگاهی سازمان‌ها و دولت‌ها می‌شود، بلکه امکان پیشگیری، واکنش سریع‌تر و بهبود راهکارهای دفاعی را نیز فراهم می‌کند. در نهایت، مستندسازی و اشتراک‌گذاری این تحلیل‌ها نقش کلیدی در تقویت امنیت سایبری جهانی و کاهش اثرگذاری حملات پیشرفته و هدفمند دارد. در این مقاله، قصد داریم به نحوه کار حملات APT و تکنیک‌هایی که هکرها برای اجرای این حملات استفاده می‌کنند، بپردازیم.

 آنچه در ادامه می‌خوانید:

انواع حملات APT

ویژگی‌های حمله APT

مراحل حمله APT

تکنیک‌های متداول مهاجمان APT

روش‌های مقابله با حملات APT

بررسی حملات APT در ایران

انواع حملات APT

انواع حملات APT به چهار گروه اصلی تقسیم می‌شوند که عبارتند از:

• تخریب
• هکتیویسم
• جرایم الکترونیک برای سود مالی
• جاسوسی، شامل دزدی دارایی‌های فکری یا اسرار دولتی

ویژگی‌های حمله APT

• پایداری: حملات APT معمولاً در طول زمان به‌صورت مداوم و تدریجی انجام می‌شوند.
• پنهان‌کاری: مهاجمان تلاش می‌کنند تا حملات خود را پنهان نگه دارند تا شناسایی نشوند.
• هدف‌گیری: این حملات معمولاً هدف‌های خاصی را انتخاب می‌کنند که شامل سازمان‌ها، دولت‌ها و نهادهای حساس است.
• استفاده از چندین تکنیک: مهاجمان APT از ترکیبی از تکنیک‌ها و ابزارها برای نفوذ و حفظ دسترسی خود به سیستم استفاده می‌کنند.

مراحل حمله APT

حملات APT معمولاً به چندین مرحله تقسیم می‌شوند که هر مرحله هدف خاصی را دنبال می‌کند. این مراحل عبارتند از:

۱. جمع‌آوری اطلاعات (Reconnaissance)

در این مرحله، مهاجمان اطلاعاتی از سیستم هدف جمع‌آوری می‌کنند. این اطلاعات می‌تواند شامل مشخصات سیستم، نرم‌افزارهای نصب شده، آدرس‌های IP و سایر اطلاعات حساس باشد.

۲. نفوذ اولیه (Initial Compromise)

در این مرحله، مهاجم به‌وسیله تکنیک‌هایی همچون فیشینگ، حملات Zero-Day یا آسیب‌پذیری‌های نرم‌افزاری به شبکه هدف نفوذ می‌کند. یکی از روش‌های رایج در این مرحله استفاده از ایمیل‌های فیشینگ است که کاربران را به وب‌سایت‌های آلوده هدایت می‌کنند.

۳. استقرار بدافزار (Establishing a Foothold)

پس از نفوذ اولیه، مهاجم اقدام به نصب بدافزارهایی می‌کند که به او اجازه می‌دهند تا دسترسی خود را به سیستم حفظ کند و اطلاعات بیشتری جمع‌آوری کند. این بدافزارها معمولاً مخفیانه عمل می‌کنند و از روش‌های رمزگذاری برای جلوگیری از شناسایی استفاده می‌کنند.

۴. گسترش دسترسی (Lateral Movement)

در این مرحله، مهاجم تلاش می‌کند تا دسترسی خود را به سایر بخش‌های شبکه گسترش دهد. این کار معمولاً با استفاده از آسیب‌پذیری‌ها و ابزارهای نفوذ انجام می‌شود. هدف از این مرحله دسترسی به سیستم‌های بیشتر و جمع‌آوری اطلاعات بیشتر است.

۵. سرقت اطلاعات (Data Exfiltration)

زمانی که مهاجم به اندازه کافی اطلاعات حساس به‌دست آورده باشد، شروع به استخراج داده‌ها می‌کند. این داده‌ها می‌تواند شامل اطلاعات مالی، داده‌های شخصی، اسناد محرمانه و حتی کدهای منبع سیستم‌های حیاتی باشد.

۶. پاک‌سازی ردپای حمله (Covering Tracks)

در آخرین مرحله، مهاجم سعی می‌کند تا تمامی آثار و ردپای حمله را پاک کند. این کار معمولاً با حذف لاگ‌های سیستم، تغییر در تنظیمات امنیتی و استفاده از تکنیک‌های مختلف برای پنهان‌سازی فعالیت‌های خود انجام می‌شود.

تکنیک‌های متداول مهاجمان APT

مهاجمان APT از ابزارها و تکنیک‌های خاصی برای نفوذ و حفظ دسترسی به سیستم‌ها استفاده می‌کنند. برخی از این تکنیک‌ها عبارتند از:

• فیشینگ: ارسال ایمیل‌های جعلی به کارمندان سازمان‌ها با هدف فریب و نصب بدافزار.
• استفاده از آسیب‌پذیری‌های نرم‌افزاری: مهاجمان از ضعف‌های موجود در نرم‌افزارها برای نفوذ به سیستم استفاده می‌کنند.
• مهندسی اجتماعی: استفاده از تکنیک‌هایی برای فریب افراد و کسب دسترسی به اطلاعات حساس.
• نصب تروجان‌ها و بدافزارها: استفاده از برنامه‌های مخرب که به مهاجم امکان دسترسی به سیستم‌ها را می‌دهند.

روش‌های مقابله با حملات APT

برای جلوگیری از حملات APT، سازمان‌ها باید به اجرای راهکارهای امنیتی پیشرفته توجه کنند. برخی از این راهکارها عبارتند از:

۱. استفاده از فایروال‌ها و سیستم‌های تشخیص نفوذ: استفاده از سیستم‌های امنیتی برای شناسایی فعالیت‌های مشکوک و نفوذهای احتمالی.

۲. آموزش کاربران: آموزش کارمندان و کاربران سازمان‌ها در خصوص تهدیدات سایبری و روش‌های جلوگیری از فیشینگ.

۳. بروزرسانی مداوم نرم‌افزارها: به‌روزرسانی نرم‌افزارها و سیستم‌عامل‌ها برای کاهش آسیب‌پذیری‌ها.

۴. مراقبت از داده‌ها: محافظت از داده‌های حساس و محدود کردن دسترسی به اطلاعات حیاتی.

۵. پایش و نظارت مداوم: نظارت مستمر بر فعالیت‌های شبکه و بررسی الگوهای مشکوک به‌منظور شناسایی حملات APT.

بررسی حملات APT در ایران

یکی از سایت‌های معتبر و شناخته‌شده در حوزه امنیت سایبری که به‌صورت تخصصی به ارائه گزارش‌ها و تحلیل‌های مربوط به تهدیدات پیشرفته و هدفمند (APT) می‌پردازد، کاسپرسکی (Kaspersky) است. این شرکت از طریق وب‌سایت Targeted Cyberattack Logbook، اطلاعات دقیق و مستندی از پیچیده‌ترین و خطرناک‌ترین حملات سایبری شناسایی‌شده را منتشر می‌کند.

هر روز کاسپرسکی به‌صورت خودکار حدود ۴۰۰ هزار فایل مخرب جدید را پردازش می‌کند. تنها یک درصد از این موارد نیازمند بررسی دستی توسط کارشناسان امنیتی هستند و فقط بخش بسیار کوچکی از همین ٪۱ به تیم تخصصی و سطح بالای تحقیقات و تحلیل جهانی کاسپرسکی (GReAT) ارجاع داده می‌شود. این نمونه‌های منتخب به نادرترین و تهدیدآمیزترین APTها تعلق دارند. دفتر ثبت حملات سایبری هدفمند کاسپرسکی تمامی این کمپین‌های سایبری مخرب و نوآورانه را که توسط این تیم مورد بررسی قرار گرفته‌اند، مستندسازی و گزارش می‌کند.

با توجه به قابلیت‌ها و فیلترهایی که وب‌سایت Targeted Cyberattack Logbook کاسپرسکی در اختیار کاربران قرار می‌دهد، امکان دسته‌بندی و تحلیل تهدیدات سایبری بر اساس معیارهای مختلفی از جمله موقعیت جغرافیایی (Location) فراهم شده است. در این مقاله، از فیلتر لوکیشن این وب‌سایت استفاده شده و تمرکز تحلیل بر تهدیدات سایبری شناسایی‌شده مرتبط با ایران قرار گرفته است.

با اعمال این فیلتر، گزارش‌ها و داده‌های مربوط به حملات پیشرفته و هدفمند (APT) که ایران را به‌عنوان هدف یا یکی از مناطق درگیر در کمپین‌های سایبری معرفی کرده‌اند، استخراج و مورد بررسی قرار گرفته‌اند. این رویکرد امکان درک بهتر الگوهای حمله، نوع تهدیدات، و سطح ریسک سایبری مرتبط با ایران را فراهم کرده و مبنایی برای تحلیل دقیق‌تر وضعیت امنیت سایبری کشور ارائه می‌دهد. جدول زیر خلاصه‌ای از مهمترین این تهدیدات را نشان می‌دهد: