Menace persistante avancée (Advanced Persistent Threat - APT)

Défi

Une directrice de FRA, alors qu'elle était agent spécial au Federal Bureau of Investigation (FBI), a mené une enquête transversale sur des cyberattaques menées par un groupe contre des infrastructures critiques américaines. L'étendue du réseau de serveurs du groupe était inconnue, ce qui démontrait des lacunes importantes dans la compréhension de la campagne d'intrusion informatique du groupe et des cibles visées.

Action

After identifying that numerous Virtual Private Servers (VPSs) used by the APT group were paid for using bitcoin, the FRA Director conducted extensive cryptocurrency asset tracing and identified hundreds of additional bitcoin wallet addresses that were likely controlled by the same APT group. Additional asset tracing on those wallets revealed numerous outbound payments to VPS providers, which led to the identification of additional VPSs used by the APT group for operational purposes. By combining blockchain analytics with unstructured data sets, the FRA Director identified specific tactics, techniques, and procedures the APT group used to rapidly open large quantities of accounts with cryptocurrency exchanges and VPS providers. This sharpened the FBI’s understanding of how this APT group laundered their bitcoin before using it to purchase VPSs, which allowed the FBI to fingerprint the group’s on-chain activity.

Résultat

La directrice de FRA a utilisé cette nouvelle compréhension pour travailler de manière proactive avec les plateformes de crypto-monnaies et les fournisseurs de VPS et identifier le moment où ce groupe créait de nouveaux comptes. Cela a rapidement amélioré la compréhension du FBI sur le réseau d'infrastructure du groupe APT, ce qui a généré des indicateurs supplémentaires de compromission qui ont pu être partagés avec les victimes.