{"id":1739,"date":"2025-05-21T13:18:53","date_gmt":"2025-05-21T11:18:53","guid":{"rendered":"https:\/\/www.sycope.com\/post\/how-to-detect-network-artifacts-related-to-apt28-in-sycope"},"modified":"2025-06-27T14:39:43","modified_gmt":"2025-06-27T12:39:43","slug":"wykrywanie-artefaktow-sieciowych-zwiazanych-z-apt28","status":"publish","type":"post","link":"https:\/\/www.sycope.com\/pl\/post\/wykrywanie-artefaktow-sieciowych-zwiazanych-z-apt28","title":{"rendered":"Jak w Sycope wykrywa\u0107 artefakty sieciowe zwi\u0105zane z APT28?"},"content":{"rendered":"<div id=\"ez-toc-container\" class=\"ez-toc-v2_0_89 counter-hierarchy ez-toc-counter ez-toc-grey ez-toc-container-direction\">\n<div class=\"ez-toc-title-container\">\n<p class=\"ez-toc-title\" style=\"cursor:inherit\">Spis tre\u015bci<\/p>\n<span class=\"ez-toc-title-toggle\"><\/span><\/div>\n<nav><ul class='ez-toc-list ez-toc-list-level-1 ' ><li class='ez-toc-page-1 ez-toc-heading-level-2'><a class=\"ez-toc-link ez-toc-heading-1\" href=\"https:\/\/www.sycope.com\/pl\/post\/wykrywanie-artefaktow-sieciowych-zwiazanych-z-apt28\/#O_APT28\" >O APT28<\/a><\/li><li class='ez-toc-page-1 ez-toc-heading-level-2'><a class=\"ez-toc-link ez-toc-heading-2\" href=\"https:\/\/www.sycope.com\/pl\/post\/wykrywanie-artefaktow-sieciowych-zwiazanych-z-apt28\/#Jak_wykrywac_artefakty_sieciowe_APT28\" >Jak wykrywa\u0107 artefakty sieciowe APT28<\/a><ul class='ez-toc-list-level-3' ><li class='ez-toc-heading-level-3'><a class=\"ez-toc-link ez-toc-heading-3\" href=\"https:\/\/www.sycope.com\/pl\/post\/wykrywanie-artefaktow-sieciowych-zwiazanych-z-apt28\/#Monitorowanie_sieci\" >Monitorowanie sieci:<\/a><\/li><li class='ez-toc-page-1 ez-toc-heading-level-3'><a class=\"ez-toc-link ez-toc-heading-4\" href=\"https:\/\/www.sycope.com\/pl\/post\/wykrywanie-artefaktow-sieciowych-zwiazanych-z-apt28\/#Analiza_logow\" >Analiza log\u00f3w:<\/a><\/li><li class='ez-toc-page-1 ez-toc-heading-level-3'><a class=\"ez-toc-link ez-toc-heading-5\" href=\"https:\/\/www.sycope.com\/pl\/post\/wykrywanie-artefaktow-sieciowych-zwiazanych-z-apt28\/#Integracja_z_wywiadem_o_zagrozeniach\" >Integracja z wywiadem o zagro\u017ceniach:<\/a><\/li><li class='ez-toc-page-1 ez-toc-heading-level-3'><a class=\"ez-toc-link ez-toc-heading-6\" href=\"https:\/\/www.sycope.com\/pl\/post\/wykrywanie-artefaktow-sieciowych-zwiazanych-z-apt28\/#Wykrywanie_oparte_na_sygnaturach\" >Wykrywanie oparte na sygnaturach:<\/a><\/li><li class='ez-toc-page-1 ez-toc-heading-level-3'><a class=\"ez-toc-link ez-toc-heading-7\" href=\"https:\/\/www.sycope.com\/pl\/post\/wykrywanie-artefaktow-sieciowych-zwiazanych-z-apt28\/#Analiza_behawioralna\" >Analiza behawioralna:<\/a><\/li><li class='ez-toc-page-1 ez-toc-heading-level-3'><a class=\"ez-toc-link ez-toc-heading-8\" href=\"https:\/\/www.sycope.com\/pl\/post\/wykrywanie-artefaktow-sieciowych-zwiazanych-z-apt28\/#Reagowanie_na_incydenty\" >Reagowanie na incydenty:<\/a><\/li><li class='ez-toc-page-1 ez-toc-heading-level-3'><a class=\"ez-toc-link ez-toc-heading-9\" href=\"https:\/\/www.sycope.com\/pl\/post\/wykrywanie-artefaktow-sieciowych-zwiazanych-z-apt28\/#Szkolenie_pracownikow\" >Szkolenie pracownik\u00f3w:<\/a><\/li><\/ul><\/li><\/ul><\/nav><\/div>\n<h2><span class=\"ez-toc-section\" id=\"O_APT28\"><\/span>O APT28<span class=\"ez-toc-section-end\"><\/span><\/h2>\n<p>Grupa ta by\u0142a zaanga\u017cowana w r\u00f3\u017cne kampanie cybernetyczne wysokiego szczebla, wymierzone w organizacje rz\u0105dowe, wojskowe, dyplomatyczne, przemys\u0142 obronny oraz organizacje pozarz\u0105dowe na ca\u0142ym \u015bwiecie. Dodatkowo grupa ta zajmuje si\u0119 g\u0142\u00f3wnie dzia\u0142alno\u015bci\u0105 cyberszpiegowsk\u0105, kt\u00f3rej celem jest pozyskiwanie informacji wywiadowczych i poufnych danych od wybranych organizacji. Skupia si\u0119 na celach politycznych, wojskowych i gospodarczych. Grupa prowadzi wysoce ukierunkowane i d\u0142ugotrwa\u0142e ataki na konkretne podmioty, cz\u0119sto dostosowuj\u0105c swoje taktyki, techniki i procedury (TTP) do cech danego celu. APT28 znana jest z u\u017cywania zaawansowanych i wyrafinowanych technik, w tym exploit\u00f3w typu zero-day, niestandardowego z\u0142o\u015bliwego oprogramowania, socjotechniki oraz kampanii phishingowych. Nieustannie rozwija swoje narz\u0119dzia i metody, aby unikn\u0105\u0107 wykrycia.<\/p>\n<h2><span class=\"ez-toc-section\" id=\"Jak_wykrywac_artefakty_sieciowe_APT28\"><\/span>Jak wykrywa\u0107 artefakty sieciowe APT28<span class=\"ez-toc-section-end\"><\/span><\/h2>\n<p data-start=\"1470\" data-end=\"1684\">Wykrywanie artefakt\u00f3w sieciowych zwi\u0105zanych z APT28 obejmuje po\u0142\u0105czenie monitorowania sieci, wywiadu o zagro\u017ceniach oraz najlepszych praktyk w zakresie bezpiecze\u0144stwa. Oto kilka og\u00f3lnych krok\u00f3w, kt\u00f3re mo\u017cna podj\u0105\u0107:<\/p>\n<ol data-start=\"1686\" data-end=\"4086\">\n<li data-start=\"1686\" data-end=\"2093\">\n<h3 data-start=\"1689\" data-end=\"1713\"><span class=\"ez-toc-section\" id=\"Monitorowanie_sieci\"><\/span><strong data-start=\"1689\" data-end=\"1713\">Monitorowanie sieci:<\/strong><span class=\"ez-toc-section-end\"><\/span><\/h3>\n<ul data-start=\"1717\" data-end=\"2093\">\n<li data-start=\"1717\" data-end=\"1820\">\n<p data-start=\"1719\" data-end=\"1820\">Analiza ruchu: Monitoruj ruch sieciowy pod k\u0105tem nietypowych wzorc\u00f3w lub skok\u00f3w w przesy\u0142aniu danych.<\/p>\n<\/li>\n<li data-start=\"1824\" data-end=\"1946\">\n<p data-start=\"1826\" data-end=\"1946\">Wykrywanie anomalii: U\u017cyj narz\u0119dzi do wykrywania anomalii w sieci, aby zidentyfikowa\u0107 odchylenia od zachowania bazowego.<\/p>\n<\/li>\n<li data-start=\"1950\" data-end=\"2093\">\n<p data-start=\"1952\" data-end=\"2093\">Inspekcja pakiet\u00f3w: Analizuj pakiety sieciowe pod k\u0105tem podejrzanych aktywno\u015bci, takich jak nietypowe wzorce komunikacji lub szyfrowany ruch.<\/p>\n<\/li>\n<\/ul>\n<\/li>\n<li data-start=\"2095\" data-end=\"2557\">\n<h3 data-start=\"2098\" data-end=\"2116\"><span class=\"ez-toc-section\" id=\"Analiza_logow\"><\/span><strong data-start=\"2098\" data-end=\"2116\">Analiza log\u00f3w:<\/strong><span class=\"ez-toc-section-end\"><\/span><\/h3>\n<ul data-start=\"2120\" data-end=\"2557\">\n<li data-start=\"2120\" data-end=\"2246\">\n<p data-start=\"2122\" data-end=\"2246\">Logi zapory sieciowej: Regularnie przegl\u0105daj logi zapory pod k\u0105tem nieautoryzowanych pr\u00f3b dost\u0119pu lub podejrzanych po\u0142\u0105cze\u0144.<\/p>\n<\/li>\n<li data-start=\"2250\" data-end=\"2418\">\n<p data-start=\"2252\" data-end=\"2418\">Logi serwera proxy: Analizuj logi proxy w poszukiwaniu nietypowego zachowania u\u017cytkownik\u00f3w, szczeg\u00f3lnie je\u015bli wyst\u0119puj\u0105 nieoczekiwane po\u0142\u0105czenia lub transfery danych.<\/p>\n<\/li>\n<li data-start=\"2422\" data-end=\"2557\">\n<p data-start=\"2424\" data-end=\"2557\">Logi DNS: Monitoruj logi DNS pod k\u0105tem nietypowych \u017c\u0105da\u0144 domenowych lub wzorc\u00f3w wskazuj\u0105cych na komunikacj\u0119 C2 (command and control).<\/p>\n<\/li>\n<\/ul>\n<\/li>\n<li data-start=\"2559\" data-end=\"2934\">\n<h3 data-start=\"2562\" data-end=\"2603\"><span class=\"ez-toc-section\" id=\"Integracja_z_wywiadem_o_zagrozeniach\"><\/span><strong data-start=\"2562\" data-end=\"2603\">Integracja z wywiadem o zagro\u017ceniach:<\/strong><span class=\"ez-toc-section-end\"><\/span><\/h3>\n<ul data-start=\"2607\" data-end=\"2934\">\n<li data-start=\"2607\" data-end=\"2783\">\n<p data-start=\"2609\" data-end=\"2783\">U\u017cyj \u017ar\u00f3de\u0142 zagro\u017ce\u0144: Zintegruj \u017ar\u00f3d\u0142a wywiadu o zagro\u017ceniach ze swoj\u0105 infrastruktur\u0105 bezpiecze\u0144stwa, aby identyfikowa\u0107 znane wska\u017aniki kompromitacji (IoC) powi\u0105zane z APT28.<\/p>\n<\/li>\n<li data-start=\"2787\" data-end=\"2934\">\n<p data-start=\"2789\" data-end=\"2934\">Bazy danych IoC: Regularnie sprawdzaj i por\u00f3wnuj swoje logi sieciowe z publicznymi i prywatnymi bazami danych zawieraj\u0105cymi IoC zwi\u0105zane z APT28.<\/p>\n<\/li>\n<\/ul>\n<\/li>\n<li data-start=\"2936\" data-end=\"3303\">\n<h3 data-start=\"2939\" data-end=\"2976\"><span class=\"ez-toc-section\" id=\"Wykrywanie_oparte_na_sygnaturach\"><\/span><strong data-start=\"2939\" data-end=\"2976\">Wykrywanie oparte na sygnaturach:<\/strong><span class=\"ez-toc-section-end\"><\/span><\/h3>\n<ul data-start=\"2980\" data-end=\"3303\">\n<li data-start=\"2980\" data-end=\"3121\">\n<p data-start=\"2982\" data-end=\"3121\">Systemy IDS\/IPS: Wdr\u00f3\u017c mechanizmy wykrywania oparte na sygnaturach w swoich systemach IDS\/IPS, aby identyfikowa\u0107 znane wzorce atak\u00f3w APT28.<\/p>\n<\/li>\n<li data-start=\"3125\" data-end=\"3303\">\n<p data-start=\"3127\" data-end=\"3303\">Oprogramowanie antywirusowe\/antymalware: Upewnij si\u0119, \u017ce Twoje rozwi\u0105zania antywirusowe maj\u0105 aktualne sygnatury wykrywaj\u0105ce z\u0142o\u015bliwe oprogramowanie zwi\u0105zane z kampaniami APT28.<\/p>\n<\/li>\n<\/ul>\n<\/li>\n<li data-start=\"3305\" data-end=\"3580\">\n<h3 data-start=\"3308\" data-end=\"3333\"><span class=\"ez-toc-section\" id=\"Analiza_behawioralna\"><\/span><strong data-start=\"3308\" data-end=\"3333\">Analiza behawioralna:<\/strong><span class=\"ez-toc-section-end\"><\/span><\/h3>\n<ul data-start=\"3337\" data-end=\"3580\">\n<li data-start=\"3337\" data-end=\"3474\">\n<p data-start=\"3339\" data-end=\"3474\">Analiza zachowa\u0144 u\u017cytkownik\u00f3w (UBA): Wdro\u017c rozwi\u0105zania UBA, aby identyfikowa\u0107 nietypowe lub podejrzane aktywno\u015bci u\u017cytkownik\u00f3w w sieci.<\/p>\n<\/li>\n<li data-start=\"3478\" data-end=\"3580\">\n<p data-start=\"3480\" data-end=\"3580\">EDR: U\u017cyj rozwi\u0105za\u0144 EDR do monitorowania zachowania punkt\u00f3w ko\u0144cowych pod k\u0105tem oznak kompromitacji.<\/p>\n<\/li>\n<\/ul>\n<\/li>\n<li data-start=\"3582\" data-end=\"3917\">\n<h3 data-start=\"3585\" data-end=\"3613\"><span class=\"ez-toc-section\" id=\"Reagowanie_na_incydenty\"><\/span><strong data-start=\"3585\" data-end=\"3613\">Reagowanie na incydenty:<\/strong><span class=\"ez-toc-section-end\"><\/span><\/h3>\n<ul data-start=\"3617\" data-end=\"3917\">\n<li data-start=\"3617\" data-end=\"3776\">\n<p data-start=\"3619\" data-end=\"3776\">Plan reagowania na incydenty: Miej dobrze zdefiniowany plan reagowania na incydenty, obejmuj\u0105cy procedury badania i \u0142agodzenia incydent\u00f3w zwi\u0105zanych z APT28.<\/p>\n<\/li>\n<li data-start=\"3780\" data-end=\"3917\">\n<p data-start=\"3782\" data-end=\"3917\">Analiza kryminalistyczna: Przeprowadzaj dok\u0142adn\u0105 analiz\u0119 kryminalistyczn\u0105 w przypadku podejrzenia naruszenia, aby okre\u015bli\u0107 jego zakres.<\/p>\n<\/li>\n<\/ul>\n<\/li>\n<li data-start=\"3919\" data-end=\"4086\">\n<h3 data-start=\"3922\" data-end=\"3948\"><span class=\"ez-toc-section\" id=\"Szkolenie_pracownikow\"><\/span><strong data-start=\"3922\" data-end=\"3948\">Szkolenie pracownik\u00f3w:<\/strong><span class=\"ez-toc-section-end\"><\/span><\/h3>\n<ul data-start=\"3952\" data-end=\"4086\">\n<li data-start=\"3952\" data-end=\"4086\">\n<p data-start=\"3954\" data-end=\"4086\">\u015awiadomo\u015b\u0107 phishingu: Edukuj pracownik\u00f3w na temat zagro\u017ce\u0144 phishingowych i taktyk socjotechniki powszechnie stosowanych przez APT28.<\/p>\n<\/li>\n<\/ul>\n<\/li>\n<\/ol>\n<p>W dniach od 15 do 25 grudnia 2023 roku wykryto kilka przypadk\u00f3w rozsy\u0142ania wiadomo\u015bci e-mail zawieraj\u0105cych odno\u015bniki do \u201edokument\u00f3w\u201d w\u015br\u00f3d organizacji pa\u0144stwowych, kt\u00f3rych odwiedzenie doprowadza\u0142o do uszkodzenia komputer\u00f3w przez z\u0142o\u015bliwe oprogramowanie wykorzystywane prawdopodobnie przez grup\u0119 APT28. Zesp\u00f3\u0142 CERT-UA opublikowa\u0142 (<a class=\"\" href=\"https:\/\/cert.gov.ua\/article\/6276894\" target=\"_new\" rel=\"noopener\" data-start=\"4418\" data-end=\"4453\">https:\/\/cert.gov.ua\/article\/6276894<\/a>) wska\u017aniki kompromitacji (IoC) dotycz\u0105ce tej aktywno\u015bci, a na ich podstawie zesp\u00f3\u0142 Sycope przygotowa\u0142 wyszukiwanie pozwalaj\u0105ce na wykrycie z\u0142o\u015bliwej aktywno\u015bci na podstawie przep\u0142yw\u00f3w sieciowych.<\/p>\n<p>\u200d<em>lookupKeyExists(&#8222;APT28_IPs&#8221;, {&#8222;ip&#8221;: clientIp} ) OR lookupKeyExists(&#8222;APT28_IPs&#8221;, {&#8222;ip&#8221;: serverIp}) OR lookupKeyExists(&#8222;APT28_Domains&#8221;, {&#8222;domain&#8221;: dnsQuery}) | set bytes=add(clientBytes, serverBytes) | aggr bytes=sum(bytes) by clientIp,serverIp unwind=true | sort bytes desc | bytes &gt; 500 | project +clientIp,+serverIp,+bytes as clientBytes<\/em><\/p>\n<figure id=\"attachment_1055\" aria-describedby=\"caption-attachment-1055\" style=\"width: 757px\" class=\"wp-caption alignnone\"><img loading=\"lazy\" decoding=\"async\" class=\"wp-image-1055\" src=\"https:\/\/sycope.com\/wp-content\/uploads\/2025\/05\/67864025fd4a6cb866d89dae_659e91d03bef7cba1b2ed974_apt28-1.png\" alt=\"\" width=\"757\" height=\"649\" srcset=\"https:\/\/www.sycope.com\/wp-content\/uploads\/2025\/05\/67864025fd4a6cb866d89dae_659e91d03bef7cba1b2ed974_apt28-1.png 602w, https:\/\/www.sycope.com\/wp-content\/uploads\/2025\/05\/67864025fd4a6cb866d89dae_659e91d03bef7cba1b2ed974_apt28-1-300x257.png 300w\" sizes=\"auto, (max-width: 757px) 100vw, 757px\" \/><figcaption id=\"caption-attachment-1055\" class=\"wp-caption-text\">Z\u0142o\u015bliwe adresy IP wykryte przez CERT-UA<\/figcaption><\/figure>\n<p>&nbsp;<\/p>\n<figure id=\"attachment_1056\" aria-describedby=\"caption-attachment-1056\" style=\"width: 757px\" class=\"wp-caption alignnone\"><img loading=\"lazy\" decoding=\"async\" class=\"wp-image-1056\" src=\"https:\/\/sycope.com\/wp-content\/uploads\/2025\/05\/67864025fd4a6cb866d89da8_659e91dc9399dd945c67f563_apt28-2.png\" alt=\"\" width=\"757\" height=\"714\" srcset=\"https:\/\/www.sycope.com\/wp-content\/uploads\/2025\/05\/67864025fd4a6cb866d89da8_659e91dc9399dd945c67f563_apt28-2.png 602w, https:\/\/www.sycope.com\/wp-content\/uploads\/2025\/05\/67864025fd4a6cb866d89da8_659e91dc9399dd945c67f563_apt28-2-300x283.png 300w\" sizes=\"auto, (max-width: 757px) 100vw, 757px\" \/><figcaption id=\"caption-attachment-1056\" class=\"wp-caption-text\">Z\u0142o\u015bliwe domeny wykryte przez CERT-UA<\/figcaption><\/figure>\n<p>&nbsp;<\/p>\n<p>Wa\u017cne jest, aby pami\u0119ta\u0107, \u017ce APT28 znana jest z wykorzystywania wyrafinowanych i ukierunkowanych atak\u00f3w, cz\u0119sto dostosowuj\u0105c swoje narz\u0119dzia w celu unikni\u0119cia wykrycia. Regularna aktualizacja \u015brodk\u00f3w bezpiecze\u0144stwa, bycie na bie\u017c\u0105co z najnowszymi zagro\u017ceniami oraz wsp\u00f3\u0142praca z odpowiednimi spo\u0142eczno\u015bciami wywiadowczymi mo\u017ce zwi\u0119kszy\u0107 zdolno\u015b\u0107 organizacji do wykrywania i reagowania na artefakty sieciowe zwi\u0105zane z APT28.<\/p>\n","protected":false},"excerpt":{"rendered":"<p>O APT28 Grupa ta by\u0142a zaanga\u017cowana w r\u00f3\u017cne kampanie cybernetyczne wysokiego szczebla, wymierzone w organizacje rz\u0105dowe, wojskowe, dyplomatyczne, przemys\u0142 obronny oraz organizacje pozarz\u0105dowe na ca\u0142ym \u015bwiecie. Dodatkowo grupa ta zajmuje si\u0119 g\u0142\u00f3wnie dzia\u0142alno\u015bci\u0105 cyberszpiegowsk\u0105, kt\u00f3rej celem jest pozyskiwanie informacji wywiadowczych i poufnych danych od wybranych organizacji. Skupia si\u0119 na celach politycznych, wojskowych i gospodarczych. Grupa [&hellip;]<\/p>\n","protected":false},"author":2,"featured_media":1397,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"footnotes":""},"categories":[99],"tags":[138,137,115,136,130,139],"product":[165],"topic":[167],"sycope_author":[249],"class_list":["post-1739","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-blog","tag-anomalie-sieciowe","tag-apt28-pl","tag-skanowanie-sieci","tag-wykrywanie-atp","tag-wykrywanie-zagrozen","tag-wylapywanie-zagrozen","product-security-pl","topic-bezpieczenstwo-sieci","sycope_author-marcin-kazmierczak"],"acf":[],"_links":{"self":[{"href":"https:\/\/www.sycope.com\/pl\/wp-json\/wp\/v2\/posts\/1739","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.sycope.com\/pl\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.sycope.com\/pl\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.sycope.com\/pl\/wp-json\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/www.sycope.com\/pl\/wp-json\/wp\/v2\/comments?post=1739"}],"version-history":[{"count":3,"href":"https:\/\/www.sycope.com\/pl\/wp-json\/wp\/v2\/posts\/1739\/revisions"}],"predecessor-version":[{"id":2117,"href":"https:\/\/www.sycope.com\/pl\/wp-json\/wp\/v2\/posts\/1739\/revisions\/2117"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.sycope.com\/pl\/wp-json\/wp\/v2\/media\/1397"}],"wp:attachment":[{"href":"https:\/\/www.sycope.com\/pl\/wp-json\/wp\/v2\/media?parent=1739"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.sycope.com\/pl\/wp-json\/wp\/v2\/categories?post=1739"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.sycope.com\/pl\/wp-json\/wp\/v2\/tags?post=1739"},{"taxonomy":"product","embeddable":true,"href":"https:\/\/www.sycope.com\/pl\/wp-json\/wp\/v2\/product?post=1739"},{"taxonomy":"topic","embeddable":true,"href":"https:\/\/www.sycope.com\/pl\/wp-json\/wp\/v2\/topic?post=1739"},{"taxonomy":"sycope_author","embeddable":true,"href":"https:\/\/www.sycope.com\/pl\/wp-json\/wp\/v2\/sycope_author?post=1739"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}