APTs (Atores Persistentes e TTPs-ATT&CK)

Nota do capítulo "13 - Contra-Inteligência (CI)", pasta "05 - Ecossistema de Ameaças".
Converte o adversário de referência estatal em atores operacionais rastreáveis, com TTPs mapeadas no MITRE ATT&CK.
Apoia-se na nota de Estados da mesma pasta e alimenta o hunting por TTPs do capítulo 08 e os controles do grupo MAP do Framework CTH.

1. Contexto e Posicionamento na Biblioteca

A sigla APT (Advanced Persistent Threat) descreve a unidade operacional da ameaça organizada: um grupo com patrocinador, objetivo definido e capacidade de permanecer no ambiente por longos períodos. Esta nota define os atributos que caracterizam um APT, apresenta exemplos consagrados com suas TTPs de assinatura mapeadas no MITRE ATT&CK e discute por que a etiqueta importa para o programa de CI e onde ela exagera. A leitura é complementar à nota de Estados, que explica a motivação de fundo, e à nota de Crime Organizado, que cobre o polo econômico do mesmo ecossistema.

O valor prático do perfil de APT está na previsibilidade de comportamento: um ator persistente reutiliza táticas e procedimentos porque funcionam, e essa reutilização cria a janela de detecção que o hunting explora. A Pirâmide de Dor do capítulo 04 fundamenta essa escolha, pois técnicas e procedimentos custam mais ao adversário do que indicadores de baixa camada como hashes e endereços IP. A disciplina recomendada aqui é consumir perfis como conjuntos de comportamentos priorizáveis, e não como nomes de marca para citar em apresentações.

2. O que Caracteriza um APT

O termo junta três atributos, e a ausência de qualquer um deles desqualifica o rótulo. Advanced significa capacidade para desenvolver ou adquirir ferramentas próprias, explorar cadeias de suprimento e se adaptar às defesas encontradas durante a operação. Persistent significa orientação a objetivos de longo prazo, com manutenção de acesso em vez de execução rápida, e tolerância a períodos de coleta silenciosa. Threat significa direção intencional a uma organização ou setor, com decisões humanas por trás de cada etapa, e não uma campanha automatizada de volume.

Na prática, quatro marcadores observáveis separam o APT do adversário comum e orientam a classificação interna de campanhas.

• Objetivo definido e sustentado: coleta de informação, posicionamento para o futuro, sabotagem ou ganho financeiro com patrocinador, em vez de oportunidade aleatória baseada em volume.
• Recursos sustentados no tempo: equipes dedicadas, infraestrutura própria, horizonte de meses a anos e disposição para manter operações de baixo rendimento inicial até que abertas.
• Persistência com recuperação: múltiplos mecanismos de retorno ao ambiente, reinfecção após limpeza e uso de posições de credibilidade, como fornecedores e identidades privilegiadas legítimas.
• Adaptação ativa às defesas: troca de ferramentas quando detectadas, reconhecimento dos controles da vítima e evasão deliberada de telemetria antes da ação principal.

A tabela compara o APT com o crime de volume para deixar claro por que a resposta de CI muda conforme o adversário identificado.

3. TTPs de Assinatura Mapeadas em ATT&CK

Quatro grupos ilustram a diversidade de objetivos e de assinatura técnica entre APTs: três com atribuição estatal predominante e um criminal, incluído deliberadamente para mostrar que sofisticação existe fora do Estado. APT29, também conhecido por Cozy Bear e Midnight Blizzard, é associado predominantemente a serviço de inteligência russo e concentra-se em espionagem de governos, think tanks e provedores de tecnologia. Suas assinaturas incluem phishing com anexo malicioso (T1566.001), execução por arquivo aberto pelo usuário (T1204.002), roubo e reutilização de cookies de sessão web (T1550.004), comprometimento de cadeia de suprimentos de software como no caso SolarWinds (T1195.002) e dump de credenciais de LSASS via comsvcs.dll (T1003.001), sempre com uso intenso de contas válidas (T1078).

APT41 combina espionagem estatal com atividade financeira própria, o que o torna um caso de estudo de dupla natureza dentro do ecossistema. O grupo é associado a atores chineses e assina campanhas com comprometimento de cadeia de suprimentos como o incidente ShadowPad (T1195.002), web shells em servidores expostos (T1505.003), phishing com anexo (T1566.001), automação com PowerShell (T1059.001), ofuscação de artefatos (T1027) e transferência de ferramentas para o ambiente (T1105). Essa mistura de motivações exige que a CI registre campanhas separadamente, pois a resposta a espionagem e a resposta a ganho financeiro têm prioridades diferentes.

Lazarus Group, associado à Coreia do Norte, demonstra que o financiamento de regime também produz persistência de alto nível. As assinaturas recorrentes incluem engenharia social de recrutamento falso de emprego por serviços legítimos (T1566.003), execução por arquivo malicioso (T1204.002), comprometimento de cadeia de suprimentos como no caso 3CX (T1195.002), desativação de ferramentas de defesa (T1562.001) e injeção de processo (T1055), com objetivo declarado de subtração de criptoativo e de propriedade intelectual. A tabela resume o quadro de referência para priorização, agora com a coluna de defesas associadas.

FIN7 completa o quadro como contraponto deliberado: é crime organizado de alto nível, sem patrocínio estatal demonstrado, o que mostra que sofisticação não é exclusividade de Estado. O grupo é associado historicamente à subtração de dados de cartão de pagamento em varejo e hospitalidade, com campanhas de phishing com anexo (T1566.001), automação em PowerShell (T1059.001), persistência por tarefa agendada (T1053.005), ofuscação de artefatos (T1027) e roubo de cookies de sessão (T1539). A relevância para a CI é dupla: o perfil demonstra que um ator criminal pode exibir os quatro marcadores de APT da seção 2, e técnicas aprendidas em contexto criminal voltaram a aparecer em campanhas de outros atores, o que exige caçar por técnica independentemente de atribuição.

Os identificadores citados servem de âncora para o dicionário de detecção e para o heatmap de cobertura, e não como lista exaustiva. A fonte primária de verdade é a página do grupo no MITRE ATT&CK, que a equipe deve revisar a cada atualização do framework e converter em regras, hunts e casos de teste.

4. Defesas Associadas às TTPs de Assinatura

O valor analítico do perfil só vira proteção quando cada técnica de assinatura recebe uma resposta de engenharia, e a tabela abaixo faz essa tradução para técnicas recorrentes neste capítulo. O objetivo não é prescrever um controle único, e sim deixar explícito o par comportamento e contramedida que orienta hardening, telemetria e caça. A mesma estrutura serve de gabarito para o heatmap de cobertura do grupo MAP do Framework CTH, em que cada célula vazia é uma lacuna de telemetria ou de controle.

Duas regras preservam a utilidade do quadro ao longo do tempo. Primeira, toda defesa listada precisa de dono nominal e evidência de funcionamento, pois linha de tabela sem teste é aspiração, e não controle. Segunda, as defesas devem ser revisadas quando o perfil do ator muda, pois técnicas abandonadas pelo adversário não justificam custo de manutenção indefinido, e o registro de detecções desativadas é tão importante quanto o de detecções criadas.

5. Por que a Etiqueta Importa e Onde Ela Exagera

A etiqueta importa por quatro razões operacionais. Ela comprime conhecimento acumulado de muitos analistas e anos em um objeto consultável, o que acelera a resposta. Ela permite prever o próximo passo provável de uma intrusão em curso, com base no histórico do ator. Ela orienta investimento de detecção, pois cobrir as técnicas preferidas de atores relevantes tem mais valor do que cobrir tudo. E ela cria vocabulário comum entre CI, resposta a incidentes, engenharia de detecção e diretoria, reduzindo ambiguidade em comunicações críticas.

A etiqueta exagera em pontos igualmente conhecidos, e o programa precisa se proteger deles.

• Branding de fornecedor: nomes comerciais diferentes para o mesmo ator geram falsa sensação de multiplicidade de ameaças; mantenha um dicionário interno de aliases.
• Atribuição incerta ou contestada: a ligação entre campanha e Estado é inferência probabilística; registre confiança conforme a nota de Atribuição de Ameaças do capítulo 05.
• Mutação de rótulos: atores reorganizam-se, infraestrutura muda de mãos e a indústria às vezes separa ou funde nomes; a âncora deve ser a TTP, não o nome.
• Contaminação por análise: relatos públicos incorporam erros e sobreposições; ao integrar um relato externo, valide as técnicas citadas contra fontes primárias antes de alimentar detecções.

O equilíbrio correto é usar o nome como índice e a TTP como conteúdo. Quando a atribuição de uma campanha muda, o trabalho de detecção e caça permanece válido, o que é a prova prática de que o programa está ancorado no nível certo da Pirâmide de Dor.

6. Como Usar Perfis de APT no Programa de CI

O perfil de APT só gera valor quando convertido em produtos consumíveis por públicos distintos, e a conversão precisa ser sistemática para não virar biblioteca decorativa. A tabela resume os usos esperados, o produto resultante e o consumidor principal de cada um.

Três regras de operação evitam os desvios mais comuns. Primeira, todo perfil integrado deve gerar ao menos um item mensurável, seja regra de detecção, seja hunt, caso contrário é leitura, não inteligência. Segunda, perfis têm data de validade, e a revisão semestral com atualização de técnicas é obrigatória. Terceira, a seleção de atores priorizados vem dos PIRs e do contexto setorial da organização, e não da popularidade do nome no noticiário.

O perfil também exige ciclo de manutenção explícito, com responsável nominal e cadência definida, e a tabela abaixo descreve a rotina mínima recomendada para manter o catálogo útil.

Cada perfil integrado deve ter responsável nominal, pois perfil sem dono envelhece sem aviso. O responsável não precisa executar a manutenção sozinho, mas responde pela cadência, pela qualidade das fontes e pelo registro das decisões. Essa governança simples é o que impede que o catálogo de atores se transforme em arquivo morto, citado apenas em apresentações trimestrais.

7. Exemplo Prático: Do Perfil de APT à Caça Documentada

O fluxo abaixo mostra a conversão de um perfil de APT29 em hunt executável, mantendo a rastreabilidade entre a fonte de inteligência, a técnica ATT&CK e a consulta aplicada no ambiente.

Fonte: relato público de campanha com roubo de cookies de sessão (T1550.004)
e dump de LSASS via comsvcs.dll (T1003.001) atribuído a APT29.

Passo 1. Registrar o perfil no TIP com as técnicas e o nível de confiança.
Passo 2. Verificar cobertura atual: não há detecção para T1550.004.
Passo 3. Formular a hipótese de caça:
  "Se um ator reutilizar cookies roubados, haverá sessões web válidas com
   troca de agente de usuário e de endereço IP no mesmo token."
Passo 4. Executar a caça com consulta no SIEM e registrar o resultado.
Passo 5. Converter o achado em detecção e em melhoria de controle.

A consulta abaixo ilustra o passo 4 em KQL para telemetria de endpoint, com foco no dump de LSASS via rundll32, padrão associado a APT29 e reutilizado por outros atores.

DeviceProcessEvents
| where InitiatingProcessFileName =~ "rundll32.exe"
| where ProcessCommandLine has "comsvcs.dll"
        and ProcessCommandLine has_all("MiniDump")
| project Timestamp, DeviceName, AccountName,
          InitiatingProcessCommandLine, ProcessCommandLine
| order by Timestamp desc

A regra Sigma abaixo materializa o passo 5 em formato portátil, pronta para conversão no pipeline de detecção e para validação com emulação por Atomic Red Team.

title: Dump de LSASS via comsvcs.dll (T1003.001)
status: experimental
description: Detecta mini-dump do processo LSASS por rundll32 com comsvcs.dll, padrão associado a APT29 e reutilizado por outros atores.
logsource:
  product: windows
  category: process_creation
detection:
  selection:
    ParentImage|endswith: '\rundll32.exe'
    CommandLine|contains|all:
      - 'comsvcs.dll'
      - 'MiniDump'
      - 'full'
  condition: selection
level: high
tags:
  - attack.credential_access
  - attack.t1003.001

O fechamento do ciclo é o que distingue programa de colecionismo: a hipótese executada vira detecção permanente, a detecção vira caso de teste no pipeline de validação e o perfil de APT é atualizado com a evidência do ambiente. Cada etapa deixa registro, o que permite auditar a conversão de inteligência em capacidade defensiva.

8. Erros Comuns e Pontos de Atenção

• Adotar a etiqueta sem os atributos: chamar qualquer intrusão persistente de APT dilui o rótulo e distorce priorização; exija os marcadores da seção 2 antes de classificar uma campanha.
• Tratar o perfil como leitura: perfil que não gera detecção, hunt ou requisito de proteção é material de divulgação; exija produto mensurável de cada perfil integrado.
• Ancorar a detecção no nome do ator: quando a atribuição muda, detecções nomeadas ficam órfãs; ancore regras em técnicas ATT&CK e use o nome apenas como metadado.
• Ignorar a mistura de motivações: casos como APT41 mostram que espionagem e ganho financeiro convivem no mesmo grupo; registre campanhas separadas para priorizar corretamente.
• Consumir apenas relatos novos: perfis envelhecem rápido; sem revisão semestral, o programa persegue técnicas descontinuadas e ignora as atuais.
• Superestimar a exclusividade: TTPs de assinatura não são propriedade do grupo; hunters devem caçá-las independentemente de atribuição, pois são baratas de testar e altas de valor.
• Confundir sofisticação com atribuição estatal: FIN7 e grupos criminosos avançados demonstram que alto nível existe fora do Estado; conclua atribuição por evidência, e não pela qualidade técnica da campanha.

9. Integração com o Restante da Biblioteca

Esta nota é a ponte entre a motivação estatal da nota de Estados e a execução técnica da biblioteca. No plano de frameworks, as técnicas citadas alimentam o grupo MAP do Framework CTH, em especial o mapeamento de atores e o heatmap de cobertura por tática, e dialogam com a nota de MITRE ATT&CK do capítulo 04. No plano de caça, as hipóteses derivadas de perfis usam a estrutura SE-ENTÃO descrita no capítulo 07 e se apoiam nas técnicas de hunting por TTPs do capítulo 08, como persistência, movimento lateral e coleta de credenciais.

Na dimensão de governança, a escolha de atores priorizados precisa ser endossada pelo comitê tratado na nota de Responsabilidade Executiva, e os limites do uso de inteligência sobre pessoas específicas seguem as notas de Marcos Legais e de Ética. O resultado esperado da leitura combinada é um dicionário vivo de atores, em que cada entrada aponta para técnicas, detecções, hunts e requisitos de proteção, mantendo a CI corporativa ancorada em comportamento verificável em vez de reputação de marca.