Czym są grupy APT? Eksperci tłumaczą, jak działa cyberbroń państw

Limes Inferior. Rzecz o cyfrowym świecie i jego osobliwościach. Dobry czołem. Witam państwa bardzo serdecznie. Dzisiaj Cyber Wnet w Limes Inferior. Dzisiaj zaczynamy cykl rozmów o cyberbezpieczeństwie we współpracy z Fundacją Bezpieczna Cyberprzestrzeń. I ten cykl będzie dotyczył... Idziemy w takie głębokie zanurzenie z naszą łodzią podwodną. Do tej pory to była taka głębokość peryskopowa. Że różne rzeczy o cyberbezpieczeństwie tam się pojawiały. Tutaj wchodzimy w świat grup APT. Advanced Persistent Threat. I to są takie uporczywe, wielowarstwowe, bardzo zaawansowane niebezpieczeństwa, zagrożenia.

A naszymi przewodnikami będą proszę państwa Mirosław Maj i Robert Kośla. Witam was serdecznie czołem. Dzień dobry, cześć. Mamy zakontraktowany cykl, ale musimy najpierw powiedzieć, co to jest to APT. Może zacznijmy od pierwszej literki A. Całość zostało wyjaśnione, cały skrót i bardzo dobrze. A to jest Advanced, tak jak tutaj wspomniane było i to świadczy o tym, że tak jak ta nazwa mówi, że jest to bardzo zaawansowane. No tylko oczywiście, żeby nie spocząć się jakby na truizmach. Jeżeli chodzi o to wyjaśnienie, to wyjaśnijmy, dlaczego jest bardzo zaawansowane. Jest bardzo zaawansowane dlatego, że stawia sobie za cel bardzo ambitne Przedsięwzięcia też powszechnie nazywane cyberoperacjami, które mają prowadzić do tego, że dzięki właśnie zaawansowanym technikom, bo to trzeba wspomnieć, że dzięki zaawansowanym technikom udaje się

APT, jeden z takich słynniejszych ataków SolarWinds, to ocenia się na około 9 miesięcy. Od momentu wejścia tego początkowego do organizacji, czyli do jakiegoś systemu komputerowego, do tego, że osiągnięto to, co sobie założono. Threat, zagrożenie. Rozumiem, że to takie zaawansowane, utrzymujące się zagrożenie. Jeszcze spróbujmy sobie wyjaśnić może, czym się ta klasa wyróżnia ataków. Na początek powiemy o atakach, a potem chyba o aktorach. Mówimy też, jest pojęcie grup APT. Czym one są, czy może one nie są? Czym się różnią od takich pospolitych? Albo mniej pospolitych cyberprzestępców zorganizowanych w jakieś cybermafie i przedsiębiorstwa takie, które się trudnią hakowaniem, monetyzowaniem, potem tego szantażowaniem ransomware'ami.

Natomiast mówimy o takim zestawieniu cech ataku, to APT, który Jest pewnym rodzajem działania i zdolnością do przeprowadzania takich operacji, więc musimy też śmiało wspomnieć o tym, że to są techniki i sposób postępowania, który również dotyczy na przykład Stanów Zjednoczonych. Czy każdego innego państwa, to jest zdolność do połączenia po prostu tych wszystkich, bo każdy z tych państw dzisiaj, nowoczesnych państw, które techniki cyfrowe ma w swoim arsenale, to po prostu w ten sposób Działa, czyli ja jakbym tu wszystko, co Robert wyjaśnił, jeśli mogę, to ja bym tu po prostu podsumował, że to jest jakby wrzucenie tematu na poziom państwowy.

Czy to są podobnego typu schematy organizacyjne, to jest połączone z wojskiem, ze służbami mówiliście? Tak, tak, tak, tak, jak najbardziej. Tak jak wspomniałem, aktorzy APT, czyli te grupy, które albo działają za przyzwoleniem, to o czym wspominał Mirek w Rosji, pod tak zwaną kryszą, czyli za zgodą służb, często z inspiracji służb, często zasilane również przez służby swoimi kadrami. Names mentioned, jak działa cyberbroń państw.

I myślę, że tak w graficznym skrócie, że te struktury powiązane z APT, już tak sobie używamy tego terminu, one w dużym stopniu dziedziczą. Nieraz są takie ruchy, które konsolidują. Myślę, że ruch z US Cyber Command National Security Agency to jest taki ruch, który po prostu wyjaśnia, ale często to one dziedziczą coś, jakby te siły i wektory sił, które są już istniejące, dlatego że po prostu mamy do czynienia z takim klasycznym podejściem, że czynnik cyfrowy Dołączył tak jakby we wszystkich innych elementach, nawet gospodarki, prawda? To on dołączył po prostu do tego arsenału i on z taką intensywnością, jak układ sił istniał, tak?

Albo zanurkować i nie jest to takie proste, bo później się okazuje, że Szczegółowe badania albo nagle odkrycia pokazują, że coś, co nam się wydawało do tej pory, bo wyodrębniliśmy jakąś grupę, ale okazuje się, że wyodrębniliśmy ją na podstawie modus operandi. Ale nie często jest tak, że możemy to poprzeć informacją na temat konkretnych struktur czy osób zaangażowanych, ale to się udaje, przynajmniej częściowo. Osób zaangażowanych w działalność danej grupy. No i później się okazuje, że nie. Tak naprawdę niektóre grupy są troszeczkę takim tworem wirtualnym. Mówią o operacjach. Ja często lubię też mówić o tym, że Wiem, że komplikujemy trochę ten obraz, ale musimy go opisać poprawnie, że te grupy APT to trochę są operacje APT.

One być może mają często historyczną ciągłość i dlatego się przyzwyczajamy do tego, że to jest jakaś grupa osób, ale tak naprawdę to jest umiejętność działania w jakimś reżimie z jakimiś motywami. Mówimy o kampaniach. Mówimy o kampaniach, tak. Zresztą to pojęcie kampanii APT istnieje. Czyli trochę takie podejście projektowe. Ja jeszcze do jednej rzeczy bym tak nawiązał z początku, żebyśmy odnaleźli siebie. Czy Polskę w tym krajobrazie? Jak my blisko jesteśmy takiego punktu, przekroczenia takiego punktu determinacji, żeby na przykład powstała polska grupa APT, czy polskie operacje APT, żeby były funkcjonalne? Jeśli pytasz o mnie, to ja już przekroczyłem ten punkt.

Mamy już takie grupy. To znaczy od lat powtarzam, że powinniśmy jak najbardziej mieć zdolności ofensywne. Często fakt istnienia grupy APT lub nieistnienia jest wynikiem, bym powiedział tak paradoksalnie, nie tyle naszej decyzji, co wykrycia takiej grupy przez innych. To znaczy, jak znajdziemy któregoś dnia w raporcie, no się czego nie życzymy, bo być może najlepiej, jak w ogóle inni nie wiedzą o tym, że takie grupy posiadamy, ale jak w raporcie, a przecież często będziemy mówili o raportach głównie amerykańskich, czy jakiś film, Czym są grupy APT? Eksperci tłumaczą, jak działa cyberbroń państw. Names mentioned, jak działa cyberbroń państw.

Od tego, więc ja nie wyobrażam sobie, że dowództwo komponentów Wojsk Obrony Cyberprzestrzeni zorganizuje konferencję prasową, na której ogłosi, że mamy grupę APT. Natomiast nie wykluczone, że z innej publikacji albo informacji się o tym któregoś dnia dowiemy. Wszystkie zdolności mamy, także i to mamy je od wielu lat. Nasze grupy wygrywają wiele konkursów, co więcej również możliwości poszczególnych państw są weryfikowane podczas ćwiczeń organizowanych chociażby pod auspicjami NATO. Czy to w ramach Cyber Coalition, czy Locked Shields. Notabene w tym tygodniu odbywają się kolejne ćwiczenia Locked Shields z udziałem polskiej delegacji.

Więc ta doktryna wielokrotnie już formułowana jako doktryna Gerasimowa, która de facto nie istnieje, ale swego rodzaju opis działań, które ówczesny szef sztabu Generalnego Federacji Rosyjskiej opublikował jako Rodzaj działań, które powinny być wykorzystywane w operacjach ofensywnych wobec przeciwników Federacji Rosyjskiej obejmuje wszystkie dziedziny, łącznie z dziedziną cyfrową. Skoro przeciwnicy Federacji Rosyjskiej są w coraz większym stopniu uzależnieni od nowoczesnej gospodarki, która bazuje na technologiach cyfrowych, no to stąd liczba takich podmiotów, które wykonują zadania specjalne, bo tak należy mówić, zadania specjalne w skrytości, bo to jest też również cecha grup APT,

W odróżnieniu od haktiwistów, te grupy się nie chwalą swoimi działaniami, no chyba, że następuje tutaj zakończenie de facto działalności, pokazanie skali, czy tak jak to miało miejsce w przypadku tej operacji, o której Mirek mówił, czyli ataku na Sony, gdzie pokazano rzeczywiście to, jaka była skala zniszczeń spowodowanych przez tą grupę. To de facto dowiadujemy się o tym po fakcie, dowiadujemy się o tym przy okazji różnego typu innych przedsięwzięć, dlatego że, tak jak mówiłem, operacje APT prowadzone są równolegle do działań dyplomatycznych, równolegle do działań kinetycznych, czyli wojskowych, równolegle do działań wywiadowczych prowadzonych przez oficerów na terytorium przeciwnika. My o liczbie tych operacji możemy tylko mówić o skali, dlatego że ta skala jest analizowana przez chociażby takie globalne firmy, które śledzą rzeczywiście wpływ.

Jaki jest najwyższy numer APT? I powiedzmy jeszcze, jak się... Już nie ma numerów. Te numery, bo może być numer 35, a później może być 83, bo to jest jakby metodyka budowania wiedzy o tym środowisku. Rzeczywiście mamy tutaj inną sytuację, bo nikt nie publikuje statystyk o swoich atakach, prawda? Natomiast oczywiście inni publikują statystyki o atakach na siebie. Te znowu są troszeczkę... Zniekształcone zdolnością do wykrywania tych ataków. Paradoks może polegać na tym, że im jesteśmy lepsi, tym się okazuje, że mamy więcej ataków. Więc ktoś mógłby zadać takie złośliwe pytania. Przy tej okazji nie ma sensu w te statystyki.

Więc jakby to jest w ogóle badanie samo w sobie, jak to badać i to nie jest proste. Natomiast zjawisko niewątpliwie narasta. Ja potkałem na takie statystyki, bo też, żeby było jasne, oni się nie zajmują wszystkim. Mówiliśmy na początku, wychodząc od definicji, że tu mówimy o najpoważniejszych atakach, że te najpoważniejsze No to 30-40% z nich to jest przeprowadzane przez te grupy o charakterze państwowym, dzisiaj już państwowym, a nie tylko sponsorowanym przez państwo. Myślę, że ta skala operacji realizowanych przez grupy APT, ona jest uwidaczniana przy okazji większych konfliktów kinetycznych. Czyli tak jak w momencie mówiłem o rozpoczęciu pełnoskalowej operacji na Ukrainie, w lutym 2022 roku, od razu widzieliśmy te przyłbice de facto opadły, widzieliśmy wysyp tych grup, one były wcześniej obserwowane przez największych graczy, one były atrybuowane wtedy również z możliwością wskazania infrastruktury, z której te grupy wykorzystywały, bo o tym też na pewno będziemy mówili o infrastrukturze.

Microsoft jakiś czas temu wprowadził taksonomię dwuczłonową. Gdzie pierwsza nazwa członu to jest wskazanie sektora, który jest w zainteresowaniu takiej grupy APT, a druga nazwa wskazuje państwo, które sponsoruje te działanie. Jeżeli mówimy tutaj o Iranie, no to mówimy tutaj o wszystkich grupach, które mają w drugim swoim członie nazwę Sandstorm. Jeżeli słyszymy cokolwiek o Sandstorm, a tych grup jest co najmniej siedem w tej chwili, takich monitorowanych aktywnie, to na pewno za tym stoi Iran. I pojawił nam się Iran. Proszę Państwa, to jest tak naprawdę zapowiedź następnej audycji z cyklu Cyber Wnet. Rozmowy z Robertem Koślą i z Mirosławem Majem, bo weźmiemy sobie na warsztat, proszę Państwa, monograficznie poszczególne państwa, poprzez te atrybucje do kraju, sponsora danych grup.

I wtedy sobie jeszcze przyjrzymy się bliżej tym wszystkim mechanizmom. Bardzo serdecznie dziękuję za dziś. Dzięki ekspertom Fundacji Bezpieczna Cyberprzestrzeń rozmawiamy o grupach APT, o takim rodzaju zagrożeń. To jest głębokie zanurzenie, proszę Państwa, i będziemy cyklicznie do tego wracać. Bardzo dziękuję. Dziękujemy bardzo. Dziękuję serdecznie. Kłaniam się. Do usłyszenia. Szymon Augustyniak.