APT-угруповання (Advanced Persistent Threat, розширена постійна загроза) — добре забезпечена ресурсами, зазвичай державна група, яка веде тривалі цільові кібероперації заради шпигунства, крадіжки даних чи саботажу.
Як діють APT-угруповання
Термін використовували в ВПС США приблизно з 2006 року, а широко відомим він став після звіту Mandiant 2013 року про китайський підрозділ APT1. «Розширена» — це навички та інструменти. «Постійна» — терпіння: такі групи лишаються в мережі місяцями й роками.
Типова кампанія включає:
- ретельну розвідку й цільовий фішинг або експлуатацію прикордонних пристроїв, інколи з вразливостями нульового дня;
- власні шкідливі програми, бекдори й легітимні адмінські інструменти для маскування;
- горизонтальне переміщення до цінних систем і повільне непомітне вивантаження даних;
- атаки на ланцюг постачання, щоб дістатися одразу до багатьох цілей.
Чому це важливо для безпеки
Цілі APT — держоргани, оборонна галузь, енергетика, телеком, наука й технологічні компанії, а також НУО та журналісти. Вендори дають угрупованням імена й номери:
- APT28 (Fancy Bear), APT29 (Cozy Bear) і Sandworm пов’язують із Росією — зокрема з атаками на українську енергосистему;
- APT41 і Volt Typhoon — із Китаєм;
- Lazarus — із Північною Кореєю. У лютому 2025 року вона викрала з біржі Bybit близько 1,5 млрд доларів у криптовалюті.
Деякі групи поєднують шпигунство з фінансовими злочинами. Вони підлаштовуються під захист, тож самих лише сигнатурних засобів недостатньо.
Як захищатися
- Оновлюйте та зміцнюйте прикордонні пристрої — VPN, міжмережеві екрани, поштові сервери. Їх APT атакують насамперед.
- Використовуйте кіберрозвідку та базу знань MITRE ATT&CK, щоб розуміти актуальні угруповання й техніки.
- Збирайте журнали централізовано, зберігайте їх досить довго й ведіть проактивний пошук загроз.
- Запровадьте стійку до фішингу MFA, сегментацію та мінімальні привілеї.
