V rámci APT útoků se využívá pokročilý malware, který může být začleněn do jakékoliv aplikace a navenek tato aplikace může perfektně plnit účel, pro který si ji uživatel sám stáhl a nainstaloval.

Možná, že i vy máte takovou aplikaci nainstalovánu na svém počítači nebo telefonu a jen o tom, že se ve skutečnosti jedná o trojského koně, nevíte, a nemusíte na to ani nikdy přijít. Jednoduše proto, že se tento trojan nemusí vůbec projevit.

Tento silně polymorfní a persistentní drive-by download malware zneužívá zero-day zranitelností a nezbavíte se ho ani zformátováním disku a reinstalací systému.

Činnost, kterou pak provádí, se odvíjí od toho, jaké instrukce obdrží z C&C serveru, a v jakém prostředí se nachází.

Došlo k vylepšení některých vlastností a přibyly i nové funkce, obzvlášť u trojských koní, šířených mailem.

Kromě stále častěji používané steganografie, decentralizovaných P2P sítí, šifrované komunikace, kontroly podpisu staženého kódu, detekce sandboxu a dynamicky generovaných názvů domén, rychlé změny IP adresy pomocí techniky fast flux DNS, se v poslední době provádí i kontrola, odkud uživatel ke C&C serveru nebo webu s malwarem přistupuje.

Tenhle škodlivý kód mě začíná už vážně štvát, nejenže se rafinovaně maskuje, používá sofistikované kryptografické techniky, ale on dokonce kontroluje i prostředí, ve kterém je spouštěn.

A pokud zjistí, že je spuštěn ve virtuálním prostředí, nebo že probíhá jeho skenování, neprovádí žádnou škodlivou činnost. A i v případě, že žádný takový systém nedetekuje, počká si s dešifrováním svého obsahu na vhodnou příležitost, často i několik desítek minut.

Tenhle nový polymorfní malware, využívaný v rámci APT, je vážně síla, aby ho nebylo možné tak snadno detekovat, využívá v podstatě stejnou kryptografickou techniku, jakou nasadili distributoři her, filmů a hudby k ochraně svých děl.

Samotný útok probíhá nám již známým způsobem, infiltrate – gather data – exfiltrate. Do počítače oběti se nejprve stáhne tzv. zavadeč (loader). Jedná o drive-by download malware, který momentálně zneužívá např. (zero day) zranitelnosti Flashe nebo Javy. A poté, co se stáhne a spustí, tak v tichosti čeká, až nebohá oběť navštíví webovou stránku, na které se nachází jeho hlavní část.

Neuplynul ještě ani měsíc a máme tady další generaci toho nejhoršího malwaru, jenž spatřil světlo tohoto světa.

Spousta bezpečnostních expertů je přesvědčena, že je jejich IDS/IPS, UTM/XTM, NGFW zařízení spolu s AV ochranou na stanicích ochrání před APT, jejichž cílem je získání cenných informací, jež útočníkovi umožní získat konkurenční výhodu na trhu. Neochrání, neboť malware se stává stále sofistikovanějším a techniky sociálního inženýrství, byly, jsou a nadále i budou úspěšně využívány k jeho distribuci, a to i ve společnostech, kde mají zavedenou vícevrstvou ochranu, používají host based i network based řešení, mají aktualizované systémy a věnují se osvětě na poli informační bezpečnosti.

Tyto hrozby jsou realizovány prostřednictvím malware, který se dostává na zařízení obětí obdobným způsobem jako jakýkoliv jiný škodlivý kód.

To znamená, že stejně jako ostatní APT využívá technik sociálního inženýrství, nezáplatovaných systémů, a samozřejmě i zero day zranitelností. Ovšem oproti klasickému malwaru tohoto typu, který pouze skenuje lokální a síťové disky a hledá na nich cenné informace, které následně šifruje a přenáší na nějaký kompromitovaný server kdesi na internetu, je tento malware mnohem sofistikovanější a je tak velice obtížné ho odhalit, protože ho nedetekují ani nástroje na behaviorální analýzu sítě (Network Behavior Analysis, zkr. NBA).