Вольт Тайфун

Volt Typhoon (также известный как VANGUARD PANDA, BRONZE SILHOUETTE , Redfly , Insidious Taurus , Dev-0391, Storm-0391 , UNC3236 или VOLTZITE ) — это продвинутая постоянная угроза, занимающаяся кибершпионажем , как сообщается, в интересах Китайской Народной Республики . Группа действует по крайней мере с середины 2021 года и, как известно, в первую очередь нацелена на критически важную инфраструктуру Соединенных Штатов . ^{[1] [2]} Volt Typhoon фокусируется на шпионаже, краже данных и доступе к учетным данным. ^[3]

По данным Microsoft , группа делает все возможное, чтобы избежать обнаружения, и ее кампании отдают приоритет возможностям, которые позволяют Китаю саботировать критически важную инфраструктуру связи между США и Азией во время потенциальных будущих кризисов. ^[3] Правительство США считает, что цель группы — замедлить любую потенциальную военную мобилизацию США , которая может последовать за китайским вторжением на Тайвань . ^[4] Китайское правительство отрицает существование группы. ^{[5] [6]}

Volt Typhoon — это название, которое в настоящее время присвоено группе корпорацией Microsoft, и это наиболее широко используемое название группы. Группа также упоминалась по-разному: ^[7]

• Dev-0391 (изначально от Microsoft)
• Storm-0391 (изначально от Microsoft)
• БРОНЗОВЫЙ СИЛУЭТ ( Secureworks , дочерняя компания Dell )
• Коварный Телец (от Palo Alto Networks Unit 42)
• Redfly (от Gen Digital , ранее Symantec)
• UNC3236 (от Mandiant , дочерней компании Google )
• АВАНГАРД ПАНДА ( CrowdStrike )
• ВОЛЬТЗИТ (Драгос) ^[8]

Согласно совместной публикации всех агентств кибербезопасности и разведки сигналов Five Eyes , основные тактики, методы и процедуры Volt Typhoon (TTP) включают жизнь за пределами земли, использование встроенных инструментов сетевого администрирования для выполнения своих задач и встраивание в обычную систему Windows и сетевую деятельность. Эта тактика позволяет избежать программ обнаружения и реагирования конечных точек (EDR), которые предупреждают о внедрении сторонних приложений на хост, и ограничивает объем активности, зафиксированной в конфигурациях журналирования по умолчанию. Некоторые из встроенных инструментов, используемых Volt Typhoon: wmic , ntdsutil, netsh и Powershell . ^[9]

Группа изначально использует вредоносное программное обеспечение, которое проникает в системы, подключенные к Интернету, используя такие уязвимости, как слабые пароли администратора, заводские логины по умолчанию и устройства, которые не обновлялись регулярно. ^[10] Получив доступ к цели, они уделяют большое внимание скрытности, почти исключительно полагаясь на методы жизни вне земли и ручную работу с клавиатурой. ^[10]

Volt Typhoon редко использует вредоносное ПО в своей деятельности после взлома. Вместо этого они отправляют команды через командную строку , чтобы сначала собрать данные, включая учетные данные из локальных и сетевых систем, поместить данные в архивный файл для подготовки к эксфильтрации, а затем использовать украденные действительные учетные данные для поддержания устойчивости. ^{[3] [11]} Некоторые из этих команд кажутся исследовательскими или экспериментальными, поскольку операторы корректируют и повторяют их несколько раз. Кроме того, Volt Typhoon пытается вписаться в обычную сетевую активность, направляя трафик через скомпрометированное сетевое оборудование малого и домашнего офиса, включая маршрутизаторы, брандмауэры и оборудование VPN . ^[12] Также было замечено, что они используют пользовательские версии инструментов с открытым исходным кодом для установления канала управления и контроля (C2) через прокси-сервер , чтобы оставаться скрытыми. ^{[3] [10]}

Во многих отношениях Volt Typhoon функционирует аналогично традиционным операторам ботнетов , захватывая под контроль уязвимые устройства, такие как маршрутизаторы и камеры безопасности, чтобы спрятаться и создать плацдарм перед использованием этой системы для запуска будущих атак. Работая таким образом, защитникам кибербезопасности сложно точно определить источник атаки. ^[10]

По данным Secureworks (подразделения Dell ), интерес Volt Typhoon к операционной безопасности «вероятно, возник из-за смущения, вызванного громкими обвинениями США [китайских хакеров, поддерживаемых государством] и возросшим давлением со стороны китайского руководства, стремящегося избежать общественного внимания к его кибершпионской деятельности». ^[13]

По словам исследователя кибербезопасности Райана Шерстобитова, «в отличие от злоумышленников, которые исчезают после обнаружения, этот противник зарывается еще глубже, когда его раскрывают» ^{[14] .}

Правительство США неоднократно обнаруживало активность в системах в США и Гуаме , предназначенных для сбора информации о критически важной инфраструктуре и военном потенциале США, но Microsoft и агентства заявили, что эти атаки могут быть подготовкой к будущей атаке на критически важную инфраструктуру США. ^[3]

В июне 2024 года Singtel подвергся атаке Volt Typhoon. ^[15] После сообщения Bloomberg News в ноябре 2024 года Singtel ответил, что он «уничтожил» вредоносное ПО, представляющее угрозу. ^[16]

В январе 2024 года ФБР объявило, что оно прервало деятельность Volt Typhoon, проведя санкционированные судом операции по удалению вредоносного ПО с маршрутизаторов жертв в США и приняв меры по предотвращению повторного заражения. ^[17]

Китайское правительство отрицало какую-либо причастность к Volt Typhoon и заявило, что Volt Typhoon — это дезинформационная кампания американских спецслужб, сообщают государственное информационное агентство Синьхуа и Национальный центр реагирования на чрезвычайные ситуации с компьютерными вирусами Китая (CVERC). ^{[5] [6]}