Advanced Persistent Threat

Advanced Persistent Threat (APT, pol. „zaawansowane trwałe zagrożenie”) – kompleksowe działania organizacyjne, których autorstwo przypisuje się zazwyczaj dużym grupom przestępczym, organizacjom o wysokim poziomie profesjonalizacji, a nawet państwom prowadzącym długofalowe kampanie ukierunkowane na uzyskanie nieautoryzowanego dostępu do krytycznych zasobów informatycznych i ich niezauważalne wykorzystywanie przez długi czas^[1]. Termin ukuto w Siłach Powietrznych Stanów Zjednoczonych około 2006 roku, a do powszechnego obiegu wszedł po ujawnieniu ataku na Google (operacja „Aurora”, 2010) i publikacji raportu firmy Mandiant o chińskiej grupie APT1 (2013)^[2][3]. Mianem grup APT określa się też same zespoły stojące za tego rodzaju kampaniami^[4].

Według definicji amerykańskiego instytutu standaryzacyjnego NIST APT to przeciwnik dysponujący zaawansowaną wiedzą specjalistyczną i znacznymi zasobami, które pozwalają mu realizować cele przy użyciu wielu wektorów ataku (m.in. cybernetycznych, fizycznych i opartych na wprowadzaniu w błąd), wielokrotnie ponawiać próby przez długi czas, dostosowywać się do działań obrońców i utrzymywać poziom dostępu potrzebny do realizacji celów^[4]. W rozwinięciu skrótu „advanced” oznacza dostęp do pełnego spektrum technik rozpoznania i włamań (od narzędzi powszechnie dostępnych po tworzone na zamówienie), „persistent” – realizowanie z góry określonych, długoterminowych celów zamiast oportunistycznego poszukiwania korzyści, a „threat” – skoordynowane działanie zmotywowanych, zorganizowanych i dobrze finansowanych ludzi, nie zaś samoczynnie rozprzestrzeniającego się kodu^[5].

APT stanowią przykład strategii cyberoperacji o potencjalnie paramilitarnym charakterze, w których dochodzi do precyzyjnego planowania działań, stosowania wyrafinowanych technik inżynierii społecznej (np. spear phishing), a także wykorzystania rozproszonych sieci agentów i narzędzi do długoterminowej eksfiltracji danych^[1]. Wyróżniają się wyższym niż w przypadku tradycyjnych ataków poziomem wyrafinowania, zdolnością szybkiej koordynacji działań oraz coraz bardziej sformalizowanymi strukturami współpracy, umożliwiającymi skuteczne pokonanie zaawansowanych mechanizmów bezpieczeństwa – często przez przejęcie przyczółków w infrastrukturze organizacji i eskalację uprawnień od wewnątrz^[1]. Motywacje intruzów są ukierunkowane zarówno na cele polityczne czy militarne, jak i na długoterminowe korzyści finansowe, a kluczowymi cechami tego rodzaju przedsięwzięć pozostają wytrwałość, umiejętność ukrywania się w środowisku ofiary oraz konsekwencja w osiąganiu założonych celów strategicznych^[1].

W odróżnieniu od masowych kampanii złośliwego oprogramowania atak APT jest wymierzony w konkretną organizację lub wąską grupę ofiar, poprzedzony rozpoznaniem celu i prowadzony z użyciem wielu technik naraz; napastnicy zwykle ignorują przy tym dane, które nie odpowiadają ich „zleceniu” (np. dane kart płatniczych), koncentrując się na poświadczeniach otwierających dostęp do kolejnych systemów ofiary^[5]. Interdyscyplinarny charakter ataków APT, integrujący wiedzę z zakresu technologii, socjotechniki oraz inżynierii bezpieczeństwa, powoduje, że zagrożenia te są szczególnie trudne do wykrycia i neutralizacji, nawet przy zastosowaniu zaawansowanych systemów wykrywania włamań i procedur reagowania na incydenty^[6][1].

Ukucie terminu przypisuje się pułkownikowi Gregowi Rattrayowi z Sił Powietrznych Stanów Zjednoczonych (około 2006 roku); określenie powstało jako umowna etykieta pozwalająca omawiać z partnerami cywilnymi długotrwałe kampanie szpiegowskie bez ujawniania niejawnej atrybucji^[2]. Szerokiej opinii publicznej zjawisko stało się znane w styczniu 2010 roku, gdy Google ujawniło wymierzone w siebie i kilkadziesiąt innych firm włamanie nazwane później operacją „Aurora”, którego źródła wskazywały na Chiny^[7]. Przełomem był opublikowany w lutym 2013 roku raport firmy Mandiant APT1: Exposing One of China's Cyber Espionage Units, który szczegółowo udokumentował wieloletnią działalność pojedynczej grupy i powiązał ją z jednostką 61398 Chińskiej Armii Ludowo-Wyzwoleńczej^[3]. Za przykład ataku klasy APT uznawany jest także robak Stuxnet, użyty przeciwko irańskiemu programowi jądrowemu^[5].

Kampanie APT opisuje się za pomocą modeli faz ataku, takich jak cyber kill chain opracowany przez koncern Lockheed Martin (od rozpoznania, przez uzbrojenie i dostarczenie złośliwego kodu, po działania na celu)^[8]. Na podstawie analizowanych incydentów Mandiant wyróżnił typowy cykl życia ataku: początkowa kompromitacja (zwykle spear phishing lub zainfekowana strona odwiedzana przez pracowników ofiary, często z użyciem podatności dnia zerowego), ustanowienie przyczółka (instalacja backdoorów), eskalacja uprawnień (m.in. łamanie haseł administracyjnych), rozpoznanie wewnętrzne, ruch boczny na kolejne serwery i stacje robocze, utrzymanie obecności oraz realizacja celu – eksfiltracja danych^[3]. W incydentach opisanych w raporcie APT1 napastnicy kontrolowali sieci ofiar średnio przez rok, a w skrajnym przypadku przez prawie pięć lat^[3].

Taktyki, techniki i procedury (TTP) grup APT katalogowane są we frameworku MITRE ATT&CK, który dokumentuje też przypisywane poszczególnym grupom kampanie i narzędzia; baza ta stanowi wspólny język analityków zespołów obronnych oraz red teamów emulujących działania przeciwnika^[9].

Nie istnieje jednolity system nazewnictwa grup APT – firmy analityczne prowadzą własne schematy, a nazwy nadawane przez różne zespoły badawcze mogą odnosić się do nakładających się, lecz nie identycznych zbiorów aktywności^[10]. Mandiant stosuje numerowane oznaczenia w kategoriach APT, FIN i UNC, CrowdStrike przypisuje krajom i kategoriom nazwy zwierząt (np. „Bear” dla Rosji, „Panda” dla Chin, „Kitten” dla Iranu, „Spider” dla grup czysto przestępczych), Dragos używa nazw minerałów, a Microsoft – po porzuceniu w kwietniu 2023 roku nazw pierwiastków chemicznych – nazw zjawisk pogodowych (np. Volt Typhoon)^[10][11]. Stąd ta sama grupa funkcjonuje pod wieloma nazwami, a publiczna atrybucja kampanii do konkretnego państwa pozostaje przedmiotem analiz i sporów^[10].

Do najczęściej opisywanych grup APT należą m.in.:

• APT1 (Comment Crew) – chińska grupa powiązana w raporcie Mandianta z jednostką 61398 Chińskiej Armii Ludowo-Wyzwoleńczej, której przypisano włamania do co najmniej 141 organizacji w latach 2006–2013; władze Chin zaprzeczyły tym ustaleniom^[3],
• APT28 (Fancy Bear, Sofacy) – grupa wiązana z rosyjskim wywiadem wojskowym GRU, znana m.in. z ataków na instytucje polityczne i rządowe państw NATO^[12],
• APT29 (Cozy Bear) – grupa przypisywana rosyjskiej Służbie Wywiadu Zagranicznego (SWR), której amerykańskie agencje przypisały m.in. kompromitację łańcucha dostaw oprogramowania SolarWinds ujawnioną w 2020 roku^[13],
• Lazarus Group – grupa powiązana z rządem Korei Północnej; amerykański akt oskarżenia z 2018 roku przypisał jej m.in. atak na Sony Pictures Entertainment (2014), kradzież 81 milionów dolarów z banku centralnego Bangladeszu (2016) i ransomware WannaCry (2017)^[14],
• Equation Group – opisana w 2015 roku przez Kaspersky Lab grupa o wyjątkowo zaawansowanym warsztacie, wiązana przez badaczy i media z amerykańską agencją NSA^[15][16].

Za jedną z pierwszych udokumentowanych kampanii tego typu uznawana jest sieć szpiegowska GhostNet, wykryta w 2009 roku w ponad stu państwach^[17].

Polska regularnie znajduje się wśród celów kampanii APT. W maju 2024 roku CERT Polska (CSIRT NASK) i CSIRT MON udokumentowały szeroko zakrojoną kampanię złośliwego oprogramowania grupy APT28 wymierzoną w polskie instytucje rządowe^[12]. Wcześniej, w 2021 roku, pełnomocnik rządu do spraw cyberbezpieczeństwa poinformował o działaniach grupy UNC1151, stojącej za operacją dezinformacyjną „Ghostwriter”, obejmujących m.in. włamania na skrzynki pocztowe osób pełniących wysokie funkcje państwowe (tzw. afera mailowa); niezależne analizy powiązały tę grupę z Białorusią^[18][19]. Działalność grup APT, w tym kampanie wymierzone w administrację i infrastrukturę krytyczną, opisują coroczne raporty CSIRT GOV i CERT Polska^[20].

• wojna cybernetyczna
• haker (bezpieczeństwo komputerowe)
• CSIRT

• DariuszD. Wawrzyniak DariuszD., Cyberbezpieczeństwo systemu finansowego, wyd. 1, Wydawnictwo Uniwersytetu Ekonomicznego we Wrocławiu, 2025, s. 57, DOI: 10.15611/2025.97.9, ISBN 978-83-68394-97-9 .