Wat is Advanced Persistent Threat (APT)?

Een geavanceerde aanhoudende dreiging is een gerichte aanval waarbij ervaren aanvallers een netwerk binnendringen en zich gedurende lange tijd verborgen houden.

Aanvallers gebruiken een reeks moderne technische tools om menselijke beslissingen te nemen, en velen zijn goed in het bestuderen van een systeem om stilletjes toegang te krijgen voordat ze waardevolle gegevens verzamelen.

Wat u moet weten:

• Een APT is een langdurige, gerichte cyberaanval waarbij stealth en menselijke operators worden gebruikt. Deze groepen richten zich op het binnen een netwerk blijven in plaats van het veroorzaken van snelle schade.
• Aanvallers vertrouwen op tactieken zoals phishing, zero-day exploits, social engineering en AI-ondersteunde methoden om toegang te verkrijgen en te behouden.
• APT's zijn gericht op organisaties, maar individuen kunnen worden beïnvloed door blootgestelde gegevens of gecompromitteerde apparaten.
• Grote inbreuken bevatten vaak persoonlijke informatie die aanvallers opnieuw gebruiken of verkopen.
• APT-aanvallen verlopen in fasen en veel moderne groepen gebruiken nu AI om de toegang opnieuw te bouwen als verdedigers een deel van de aanval afslaan.
• Gebruikers kunnen de risico's verminderen door apparaten bij te werken en goede gewoonten voor de beveiliging van de computer en op gedrag gebaseerde beveiligingshulpmiddelen te gebruiken.
• Recente gevallen van APT tonen aanvallen op de toeleveringsketen en meer realistische social engineering.

Wat betekent een APT op het gebied van cyberbeveiliging?

Een Advanced Persistent Threat (APT) is een gerichte aanval waarbij een dreigingsactor toegang krijgt tot een systeem en daar gedurende een lange periode blijft.

Het woord geavanceerd verwijst naar de tools en technieken die worden gebruikt om in te breken. Zero-day-exploits , aangepaste malware en AI-ondersteunde methoden zijn allemaal voorbeelden van methoden die oplichters gebruiken. Aanhoudend betekent dat de aanvallers niet weggaan als ze eenmaal binnen zijn. Ze blijven het systeem monitoren en de toegang opnieuw opbouwen als verdedigers ze buitensluiten. Ze passen hun aanpak aan en ontwikkelen ze indien nodig.

Moderne APT's zijn niet volledig geautomatiseerd. Menselijke operators begeleiden de aanval en reageren op verdedigingen voor een meer gerichte aanpak. AI speelt een steeds grotere rol door aanvallers sneller te laten werken en hun aanwezigheid met minder inspanning te behouden. Het kan hen ook helpen hun identiteit te verbergen en detectie te voorkomen.

De klassieke beschrijvingen van APT's in Cybersecurity noemen vaak vijf fasen, maar deze stappen blijven zich ontwikkelen. Nieuwere aanvallen voegen door AI aangedreven volharding toe door middel van automatisering en flexibele command-and-control-methoden kunnen de aanvallers ook in staat stellen op hun plaats te blijven, zelfs als een deel van hun operatie wordt gedetecteerd.

Waarom de menselijke factor ertoe doet

De meeste APT-aanvallen beginnen wanneer iemand wordt misleid. Social engineering biedt aanvallers een kans en het blijft een van de meest betrouwbare manieren om toegang te krijgen.

Zelfs een sterke technische verdediging kan worden verbroken als een aanvaller een enkele persoon overtuigt om op een koppeling te klikken of een klein stukje informatie vrij te geven.

Moderne tactieken worden steeds geavanceerder en werpen niet zo'n groot net uit. Spear phishing- berichten gebruiken nu echte zakelijke gegevens of gestolen e-mailthreads. Door AI gegenereerde teksten kunnen er authentiek en professioneel uitzien.

Het lokken is ook geëvolueerd. Aanvallers kunnen valse inlogpagina's in de cloud en urgente meldingen gebruiken die interne systemen nabootsen. Deze technieken maken het voor gebruikers moeilijker om een val te herkennen, vooral wanneer berichten zo overtuigend lijken te komen van een collega of vertrouwde partner.

Menselijke beslissingen vormen de vroege stadia van veel APT-inbraken. Een moment van afleiding of een goed opgesteld zwendelbericht kan aanvallers de toegang geven die ze nodig hebben om zich op een netwerk te vestigen.

Hoe werkt een APT-aanval?

Een APT-aanval verloopt in een aantal fasen waarbij aanvallers een netwerk kunnen binnendringen en hun werk kunnen doen zonder de aandacht te trekken. De meeste aanvallen volgen een bekend patroon:

Fase een: toegang verkrijgen

toegang is de eerste stap. Cybercriminelen komen meestal binnen via een netwerk, een geïnfecteerd bestand, ongewenste e-mail of een kwetsbaarheid van een app om malware in een doelnetwerk te plaatsen. Dankzij moderne technieken is deze fase vaak geautomatiseerd. Aanvallers automatiseren door meerdere toegangspunten tegelijk te testen en hun aanpak aan te passen wanneer beveiligingstools een poging blokkeren.

Fase twee: voet aan de grond krijgen

Cybercriminelen planten malware en creëren zo een netwerk van achterdeuren en tunnels om onopgemerkt door het systeem te bewegen. De malware gebruikt vaak technieken waarbij de code wordt herschreven om hackers te helpen hun sporen te verbergen.

Moderne steunpunten zijn ontworpen om verwijderingspogingen te overleven en kunnen zichzelf automatisch opnieuw installeren. Sommigen schakelen over naar nieuwe toegangswegen wanneer verdedigers ingrijpen.

Fase drie: toegang uitbreiden

Als ze eenmaal binnen zijn, gebruiken hackers technieken zoals het kraken van wachtwoorden om beheerdersrechten te krijgen zodat ze meer controle en toegang hebben tot het systeem. Dit proces kan nu ook worden begeleid door geautomatiseerde tools en scripts die machtigingen toewijzen en snel aanpassen als de toegang wordt beperkt of gecontroleerd. Het maakt het moeilijker om de aanvallers uit te roeien.

Fase vier: zijwaarts bewegen

Als ze diep in het systeem zitten en beheerdersrechten hebben, kunnen hackers vrij rondbewegen. Ze kunnen ook toegang proberen te krijgen tot andere servers en andere beveiligde delen van het netwerk. Dit is een ander gebied dat meer oplichters hebben geautomatiseerd om te proberen meer voet aan de grond te krijgen en meer inzicht te krijgen in het systeem.

Fase vijf: kijken, leren en blijven

Eenmaal binnen in het systeem krijgen aanvallers een gedetailleerd inzicht in hoe het werkt en waar de zwakke punten zich bevinden. Hierdoor kunnen ze rustig de informatie verzamelen die ze zoeken. Tegelijkertijd passen ze zich aan de veiligheidsmaatregelen aan en gebruiken ze geavanceerde verbergingstechnieken om zo lang mogelijk in het systeem te blijven.

Hoe kunnen aanvallers inbreken en controle krijgen?

APT-groepen beginnen vaak met het vinden van een enkel zwak punt en maken daar langzaam gebruik van. Dit kan een fout zijn in een bedrijfssysteem, een persoonlijk apparaat of een online service die mensen elke dag gebruiken.

Hun methoden worden steeds overtuigender. Een zero-day exploit maakt gebruik van een softwarefout die nog niet is verholpen en kan zowel zakelijke software als consumentenapps treffen. Bij watering hole-aanvallen worden websites die bepaalde groepen gebruikers regelmatig bezoeken, geïnfecteerd. Baiting is ook geëvolueerd en bevat nu vaak valse inlogpagina's in de cloud of dringende systeemprompts die er echt uitzien en zijn ontworpen om zowel werknemers als privégebruikers te misleiden.

Veel APT-aanvallen beginnen niet bij het hoofddoel zelf. In plaats daarvan breken aanvallers vaak eerst in bij kleinere serviceproviders of veelgebruikte softwaretools. Van daaruit kunnen ze zowel organisaties als individuele gebruikers bereiken die afhankelijk zijn van deze services, vooral wanneer zakelijke en persoonlijke accounts of apparaten verbonden zijn.

Aanvallers krijgen meestal voet aan de grond door backdoors of externe shells te installeren. Met deze tools kunnen ze wanneer ze maar willen opnieuw verbinding maken met het systeem en blokkeren ze pogingen om hun toegang te verwijderen. Oplichters werken dan meestal om de toegang uit te breiden door interne fouten in het systeem te misbruiken. Ze verhogen ook hun privileges om de controle over meer systemen te grijpen.

Hoe aanvallers toegang voor de lange termijn verplaatsen, verbergen en behouden

Zodra aanvallers betere toegang hebben, beginnen ze verbonden systemen, accounts en communicatietools te verkennen terwijl ze verborgen blijven. Dit kunnen bedrijfsservers, cloudservices of zelfs thuisnetwerken en persoonlijke netwerken zijn die verbonden zijn via werkapparaten of gedeelde accounts.

Hun doel is om te begrijpen hoe de omgeving functioneert en hoe ze onopgemerkt kunnen blijven terwijl ze schade aanrichten. Hierdoor hebben ze meer tijd om toegang te krijgen tot persoonlijke informatie, verbonden gebruikersaccounts en andere gevoelige gegevens van zowel organisaties als individuen.

Aanvallers gebruiken technieken die weinig sporen achterlaten. Ze kunnen logboeken wijzigen of soms geavanceerde bestandsloze malware gebruiken die in het geheugen wordt uitgevoerd. Sommige routeren hun communicatie via versleutelde kanalen die zijn ontworpen om op te gaan in het normale verkeer. We hebben ook het gebruik gezien van door AI ondersteunde persistentie die het gedrag kan veranderen wanneer beveiligingstools reageren en de toegang opnieuw opbouwen als ze worden verwijderd.

De beste verdediging is ook het gebruik van AI en machine learning om terug te vechten. Deze tools zoeken naar ongewoon gedrag binnen uw online accounts en netwerken en kunnen inlogpatronen of gegevensactiviteit detecteren die niet overeenkomen met uw normale gebruik. Dit is van belang omdat veel geavanceerde aanvallen niet afhankelijk zijn van voor de hand liggende malware. Ze mengen zich en wachten af.

Vanuit het oogpunt van persoonlijke veiligheid betekent dit dat moderne bescherming is gericht op het vroegtijdig verminderen van risico's in plaats van simpelweg te reageren wanneer er iets misgaat. Beveiligingstools kunnen kleine waarschuwingssignalen herkennen en de toegang beperken voordat aanvallers tijd hebben om verder te gaan of verbonden te blijven.

APT-verdediging blijft zich ontwikkelen

Sommige verdedigingen zijn nog in ontwikkeling. Kwantumbestendige versleuteling is een nieuwe benadering die is ontworpen om gevoelige gegevens te beschermen tegen toekomstige aanvalsmethoden die de huidige versleutelingsnormen zouden kunnen schenden. Hoewel de meeste consumenten dit niet zelf hoeven te configureren, wordt het steeds vaker achter de schermen gebruikt door serviceproviders om de gegevensbescherming op de lange termijn te versterken.

Recente incidenten tonen aan hoe snel de methoden van APT evolueren en dat de definitie van geavanceerde persistente dreigingen met de technologie steeds verder verandert. Bij recentere aanvallen werden vergiftigde software-updates en zelfs deepfake-audio gebruikt voor social engineering. Sommigen maakten zich zorgen over de nieuwe 'van het land leven'-technieken die afhankelijk zijn van legitieme tools binnen het netwerk. Elk geval laat zien hoe flexibel en geduldig deze groepen kunnen zijn.

Zelfs wanneer een APT-bewerking lijkt te worden stopgezet, is de dreiging mogelijk nog niet verdwenen. Aanvallers laten vaak verborgen achterdeurtjes en secundaire implantaten achter zodat ze later kunnen terugkeren. Inzicht in de volledige levenscyclus van een APT helpt organisaties en individuen te begrijpen wat voor soort dreiging ze zijn.

Wie zijn de aanvallers van Advanced Persistent Threats?

APT-aanvallen worden meestal uitgevoerd door grote groepen met de nodige middelen en niet door alleenstaande hackers.

Veel van deze programma's zijn gekoppeld aan programma's van nationale staten, waarbij regeringen langlopende cyberoperaties financieren om informatie te verzamelen of strategisch voordeel te behalen.

Er zijn ook hybride actoren die de grens tussen door de overheid gesteunde groepen en criminele netwerken doen vervagen. Er zijn ook georganiseerde groepen van cybercriminelen die (naast vele andere) APT-tactieken gebruiken om gegevens te stelen of geld af te persen.

Deze aanvallers richten zich vaak op sectoren die kritieke services ondersteunen of grote hoeveelheden gevoelige gegevens opslaan.

Waarom ze APT-campagnes lanceren

APT-groepen zijn niet allemaal hetzelfde: ze voeren campagnes om verschillende redenen.

Sommigen richten zich op spionage en langetermijnsurveillance als onderdeel van politiek gewin. Anderen streven naar financieel gewin op korte termijn. Wat ze delen is geduld en planning. Deze aanvallen zijn ontworpen om in de loop van de tijd waarde te leveren, niet om snelle winsten te behalen.

Zijn APT-aanvallen van invloed op gewone mensen?

De impact van de APT bereikt vaak gewone gebruikers als onderdeel van veel grotere inbreuken. Ze kunnen ook mensen aanvallen die banden hebben met organisaties.

Hoe individuen indirecte slachtoffers worden

Wanneer aanvallers inbreuk maken op een bedrijf of openbare dienst, krijgen ze vaak toegang tot een groot aantal persoonlijke gegevens. Zelfs als u niet het beoogde doelwit was, kan uw informatie nog steeds worden betrapt op het lek. Het is belangrijk

hoe persoonlijke apparaten aanvallen kunnen inschakelen

Persoonlijke en zakelijke apparaten worden vaak gebruikt als toegangspunten. Een gehackte laptop of thuisnetwerk kan aanvallers toegang geven tot een grotere omgeving wanneer apparaten verbinding maken met bedrijfssystemen. Naarmate meer huishoudens afhankelijk zijn van verbonden apparaten, kunnen zwakke punten in de beveiliging van woningen ook slimme thuissystemen, persoonlijke netwerken en gekoppelde accounts blootstellen aan bredere aanvallen.

De tekenen van dagelijkse gebruikers die de activiteit van APT zouden kunnen opmerken

zijn doorgaans subtiel van opzet. Maar sommige tekenen kunnen verschijnen. Deze kunnen onverwachte waarschuwingen voor inloggen, ongebruikelijke accountactiviteit en apparaten die langzamer werken dan normaal zijn. U moet ook op uw hoede zijn voor herhaalde phishing-pogingen die zeer persoonlijk aanvoelen.

Het negeren van de veelbetekenende waarschuwingssignalen kan aanvallers meer tijd geven om verborgen te blijven en zelfs het risico op langdurige accountovername of grotere blootstelling van gegevens vergroten.

Waarin verschilt een APT van normale malware?

Een APT is geen snelle of scattergun-aanval. Het is gericht en ontworpen om onopvallend te zijn en voor lange tijd verborgen te blijven.

Gewone malware verspreidt zich gewoonlijk wijdverbreid en veroorzaakt onmiddellijke schade, maar APT-groepen kiezen specifieke slachtoffers en werken op een gedetailleerde en nauwkeurige manier om detectie te voorkomen. Ze zijn eigenlijk het tegenovergestelde van sommige benaderingen van scattergun-malware.

Ransomware-aanvallen kunnen een vorm van APT zijn en zijn bedoeld om bestanden te vergrendelen en binnen enkele uren betaling te eisen. APT-actoren geven de voorkeur aan stille toegang waarmee ze systemen kunnen bestuderen en waardevolle gegevens kunnen verzamelen gedurende weken of maanden. Ze profiteren van menselijke besluitvorming en technieken die veranderen wanneer verdedigers reageren. Dit niveau van controle scheidt ze van gewone malware die een vast script volgt.

Een geavanceerde aanhoudende dreiging detecteren

De geavanceerde detectie van aanhoudende dreigingen wordt bemoeilijkt door het feit dat de activiteit is ontworpen om op te gaan in normaal gedrag. Dat betekent niet dat het altijd perfect werkt of niet detecteerbaar is en dat veel signalen u nog steeds kunnen waarschuwen. Wees alert op vreemd gedrag:

• Bestanden die op vreemde tijden worden geopend
• Onverwachte of onverklaarbare gegevensoverdracht
• Accounts die inloggen vanaf onbekende locaties
• Trage apparaatprestaties
• Hoog netwerkgebruik
• Wijzigingen van instellingen zonder uw invoer kunnen ook problemen opleveren

U moet ook zoeken naar onbekende apps of achtergrondtaken u hebt niet geïnstalleerd. Door belangrijke bestanden en configuraties te monitoren, kun je kleine wijzigingen vroegtijdig opmerken, voordat aanvallers zich verder verspreiden.

Traditionele antivirusprogramma's en firewalls waren in hoge mate afhankelijk van bekende malwarehandtekeningen. Onze beveiligingstools zijn overgeschakeld naar op gedrag gebaseerde en AI-gestuurde monitoring die op zoek is naar ongebruikelijke acties in plaats van alleen te scannen op bekende dreigingen.

De deskundige detectie van dreigingen en de deskundige viruscontrole en verwijdering van Kaspersky kunnen helpen bij de bescherming van consumenten en het verwijderen van dreigingen die de verdediging hebben doorbroken.

Beveiligingswaarschuwingen en accountbewaking

Schakel aanmeldingswaarschuwingen in voor uw belangrijkste accounts om u te waarschuwen als iemand toegang tot uw account probeert te krijgen. Controleer de activiteitlogboeken in al je online accounts en tools om te bevestigen dat alleen jij je aanmeldt. Deze waarschuwingen kunnen je vroegtijdig waarschuwen als iemand probeert gestolen inloggegevens te gebruiken.

Hulpprogramma's voor detectie

Gebruik geavanceerde beveiligingssoftware die let op verdacht gedrag, niet alleen op bekende malware. Gedrags- en AI-gebaseerde tools kunnen afwijkingen eerder detecteren en voorkomen dat aanvallers dieper in je systeem doordringen.

Houd automatische updates altijd ingeschakeld zodat uw apparaat over de nieuwste bescherming tegen nieuwe APT-technieken beschikt. De tools van Kaspersky kunnen u ook beschermen tegen valse sites en e-mails die door cybercriminelen zijn aangemaakt om uw identiteit en geld te stelen.

Hoe kunnen individuen zichzelf beschermen tegen APT-tactieken?

Regelmatige software-updates, multi-factor authenticatie, sterke wachtwoorden en een constant bewustzijn van phishing verwijderen veel van de openingen waarop deze groepen vertrouwen.

Zelfs een enkele geblokkeerde poging kan voorkomen dat aanvallers de toegang krijgen die ze nodig hebben om dieper in een netwerk te kruipen. Hoewel deze aanvallen meestal gericht zijn op grote organisaties, zijn persoonlijke gewoonten nog steeds van belang. Over de hele linie is een robuuste verdediging nodig. Apparaten voor thuisgebruik, persoonlijke e-mailaccounts en hergebruikte wachtwoorden zijn vaak de zwakste schakel die aanvallers misbruiken om grotere systemen te bereiken.

Het gebruik van moderne beveiligingssoftware verkleint het risico. De tools van vandaag zijn minder gericht op het opsporen van bekende malware en meer op het beperken van verdacht gedrag en het voorkomen van ongeoorloofde wijzigingen. Dit helpt de blootstelling na verloop van tijd te verminderen, in plaats van pas te reageren nadat de schade is aangericht.

Dankzij de technologische vooruitgang zijn er ook nieuwere beschermende benaderingen in opkomst. Sommige platforms gebruiken nu tracking op basis van blockchain om fraudebestendige records van systeemactiviteit en bestandswijzigingen te maken. Door gebeurtenissen vast te leggen op een manier die niet stilletjes kan worden gewijzigd, maken deze systemen het moeilijker voor aanvallers om wijzigingen te verbergen of de geschiedenis te herschrijven nadat ze toegang hebben gekregen. Deze technieken maken het voor aanvallers moeilijker om bestanden te wijzigen of hun activiteit te verbergen.

Wat te doen als een compromis wordt vermoed?

Als u denkt dat uw apparaat of accounts zijn gecompromitteerd, is het belangrijkste dat u snel handelt.

Verbreek eerst de verbinding met het netwerk. Wijzig uw wachtwoorden vanaf een veilig apparaat en controleer uw accountactiviteit op onbekende logins of instellingen. Voer een volledige beveiligingsscan uit met software die ongebruikelijk gedrag en actuele moderne dreigingen kan detecteren.

Als de problemen zich blijven voordoen of als gevoelige accounts worden gebruikt, is het belangrijk om te begrijpen dat geavanceerde aanvallers verborgen achterdeurtjes kunnen hebben achtergelaten. Hiermee kunnen ze weer toegang krijgen, zelfs nadat sommige problemen lijken te zijn opgelost.

In gevallen waarin herhaaldelijke tekenen van inbraak blijven bestaan, is een volledige wissing van het apparaat en een schone herinstallatie wellicht de veiligste optie. Hiermee kunt u verborgen tools verwijderen die moeilijk te detecteren zijn en die uw veiligheid kunnen blijven bedreigen.

Goede gewoonten op het gebied van cyberbeveiliging blijven belangrijk. Schakel waar mogelijk multi-factor authenticatie in om beschermd te blijven. Controleer de accountactiviteit op aanmeldingen of herstelopties die u niet herkent.

Wat recente voorbeelden van APT laten zien hoe deze aanvallen werken

Dit is geen abstracte dreiging. Recente incidenten met APT geven een duidelijk beeld van hoe echte aanvallers zich stilletjes door netwerken verplaatsen.

Grote incidenten sinds 2020

Solar Winds:

een van de meest spraakmakende gevallen was de aanval op SolarWinds Orion in 2020 toen aanvallers "een kwaadaardige wijziging aan SolarWinds Orion-producten hadden kunnen toevoegen waardoor ze opdrachten op beheerdersniveau konden verzenden naar elke getroffen installatie.”

Toen klanten die update installeerden, gaven ze de aanvallers onbewust externe toegang tot hun interne netwerken. Aanvallers kozen de slachtoffers die ze wilden onderzoeken en gebruikten aanvullende tools om de toegang uit te breiden en volhardend te blijven.

MOVEit:

Nog recenter heeft het datalek van MOVEit in 2023 het risico van tools voor beheerde bestandsoverdracht aan het licht gebracht. Een ransomwaregroep maakte misbruik van een zero-day kwetsbaarheid in de MOVEit-software om webshells te installeren op blootgestelde servers en stal vervolgens stilletjes gegevens van duizenden organisaties voordat het probleem publiekelijk bekend werd.

Wat consumenten leren van deze incidenten

Ze laten zien dat aanvallers niet altijd rechtstreeks achter individuen aan gaan. Ze nemen vaak vertrouwde software- of serviceproviders in gevaar en gebruiken die positie vervolgens om veel organisaties tegelijk te bereiken.

Evenzo laten ze ook zien hoe persistentie in meerdere fasen in de praktijk werkt. Deze voorbeelden laten zien dat aanvallers backdoors hebben geïnstalleerd of verborgen webshells hebben gebruikt. Ze verplaatsten zich tussen systemen om waardevolle informatie te vinden.

De les voor gewone gebruikers is simpel: u bent afhankelijk van meer systemen dan de systemen die u bezit . Sterke gewoontes op het gebied van persoonlijke beveiliging en snelle actie wanneer u meldingen van incidenten ontvangt, helpen allemaal om het risico voor uw gegevens in de loop van de tijd te verminderen.

Gerelateerde artikelen:

• Wat zijn zero-day exploits?
• Wat is endpoint security?
• Wat is cyberbeveiliging?
• Hoe blijf je beschermd tegen AI-hacking?

Gerelateerde producten:

• KASPERSKY ENTERPRISE-OPLOSSINGEN
• Kaspersky Premium
• Download een gratis proefversie van 30 dagen van ons premium abonnement

Veelgestelde vragen

Hoe lang blijven APT-aanvallers gewoonlijk in een systeem?

APT-aanvallers kunnen weken of zelfs jaren in een systeem blijven. Hun doel is om zo lang mogelijk onopgemerkt te blijven, zodat ze gegevens kunnen blijven verzamelen en kunnen zien hoe de organisatie werkt.

Waarom zijn APT-aanvallen zo moeilijk te detecteren?

Dergelijke aanvallen zijn moeilijk te detecteren omdat ze sluipende tactieken gebruiken, zoals aangepaste tools en normaal ogende systeemactiviteit. Ze integreren hun aanvallen in het dagelijkse netwerkverkeer.

Zijn APT-groepen verbonden met specifieke landen?

Veel APT-groepen zouden banden hebben met of ondersteund worden door specifieke natiestaten, terwijl andere criminele groepen zijn die mogelijk grensoverschrijdend werken. Openbare rapporten gebruiken vaak codenamen in plaats van landen rechtstreeks te noemen.

Hoe kiezen APT-aanvallers hun slachtoffers?

Ze kiezen meestal doelen die waardevolle gegevens bevatten of die toegang hebben tot belangrijke systemen. Het komt vaker voor dat overheidsinstanties en grote bedrijven het doelwit zijn dan niet-gelieerde individuen. Soms worden kleinere organisaties het eerst getarget omdat ze een pad naar een groter netwerk bieden.