Salt Typhoon
Salt Typhoon, noto anche con gli pseudonimi Earth Estries, FamousSparrow, GhostEmperor e UNC2286, è un gruppo di minacce persistenti avanzate (APT) specializzato in attività di spionaggio informatico.
L'origine di Salt Typhoon
Almeno dal 2020, questo gruppo ha condotto campagne di spionaggio informatico estremamente sofisticate a livello globale. Noto per malware suo malware avanzato e per lo sfruttamento di zero-day , nel 2023 Salt Typhoon ampliato il proprio raggio d'azione, estendendosi a nuovi settori, nuove aree geografiche e adottando tattiche più aggressive. L'arsenale e le operazioni di questo gruppo APT dimostrano un forte orientamento alla furtività, alla persistenza e alla compromissione su larga scala.
Paesi colpiti dal Salt Typhoon
Dal 2023, Salt Typhoon colpito oltre 20 organizzazioni in tutto il mondo. Tra i paesi colpiti figurano:
- Asia-Pacifico: Afghanistan, India, Indonesia, Malesia, Pakistan, Filippine, Taiwan, Thailandia e Vietnam.
- Africa: Eswatini, Sudafrica.
- Americhe: Brasile, Stati Uniti.
Settori di riferimento di Salt Typhoon
Salt Typhoon punta Salt Typhoon a un ventaglio più ampio di settori, tra cui quello tecnologico, della consulenza, chimico, dei trasporti, delle agenzie governative e delle organizzazioni no profit, riflettendo un approccio altamente opportunistico e strategico.
Vittime prese di mira da Salt Typhoon
Tra le vittime figurano solitamente enti governativi e aziende tecnologiche operanti nei settori dell'innovazione, della difesa e delle infrastrutture nazionali critiche. Una volta compromesse, le organizzazioni prese di mira si trovano spesso a dover affrontare sofisticate tattiche di movimento laterale.
Il metodo di attacco Salt Typhoon
Compromette gli account amministrativi tramite il furto di credenziali o malware , spesso sfruttando il protocollo SMB o Windows Management Instrumentation (WMI).
Sfrutta le vulnerabilità presenti in sistemi di largo uso, tra cui:
- Ivanti Connect Secure (CVE-2023-46805, CVE-2024-21887)
- Fortinet FortiClient EMS (CVE-2023-48788)
- Sophos Firewall (CVE-2022-3236)
- Microsoft Exchange (vulnerabilità di ProxyLogon: CVE-2021-26855, ecc.)
Utilizza strumenti quali il sideloading delle DLL e la manipolazione del Registro di sistema per ottenere l'accesso a livello di sistema.
Utilizza tecniche di offuscamento, tra cui la backdoor GhostSpider e tattiche "living-off-the-land" con strumenti come WMIC.exe e PsExec, attacchi di downgrade di PowerShell e tecniche di mascheramento per eludere il rilevamento.
Distribuisce programmi di furto come SnappyBee (Deed RAT) o strumenti personalizzati come TrillClient per raccogliere credenziali e dati del browser.
Esegue l'individuazione dei rapporti di fiducia tra domini e la ricognizione della rete per mappare l'ambiente della vittima.
Diffonde malware comandi SMB e WMI, installando backdoor su più computer.
Si concentra sui file sensibili (ad esempio i PDF) e utilizza tecniche avanzate come SnappyBee per sottrarre credenziali e token di sessione.
Distribuisce payload dannosi tramite Cobalt Strike, backdoor personalizzate (ad esempio Zingdoor o GhostSpider) e HemiGate.
Trasferisce i dati raccolti a server o servizi esterni come AnonFiles, File.io e archivi pubblici.
Garantisce la persistenza ed elimina ogni traccia dell'infezione, rimuovendo malware presente malware ogni ciclo operativo.
Compromette gli account amministrativi tramite il furto di credenziali o malware , spesso sfruttando il protocollo SMB o Windows Management Instrumentation (WMI).
Sfrutta le vulnerabilità presenti in sistemi di largo uso, tra cui:
- Ivanti Connect Secure (CVE-2023-46805, CVE-2024-21887)
- Fortinet FortiClient EMS (CVE-2023-48788)
- Sophos Firewall (CVE-2022-3236)
- Microsoft Exchange (vulnerabilità di ProxyLogon: CVE-2021-26855, ecc.)
Utilizza strumenti quali il sideloading delle DLL e la manipolazione del Registro di sistema per ottenere l'accesso a livello di sistema.
Utilizza tecniche di offuscamento, tra cui la backdoor GhostSpider e tattiche "living-off-the-land" con strumenti come WMIC.exe e PsExec, attacchi di downgrade di PowerShell e tecniche di mascheramento per eludere il rilevamento.
Distribuisce programmi di furto come SnappyBee (Deed RAT) o strumenti personalizzati come TrillClient per raccogliere credenziali e dati del browser.
Esegue l'individuazione dei rapporti di fiducia tra domini e la ricognizione della rete per mappare l'ambiente della vittima.
Diffonde malware comandi SMB e WMI, installando backdoor su più computer.
Si concentra sui file sensibili (ad esempio i PDF) e utilizza tecniche avanzate come SnappyBee per sottrarre credenziali e token di sessione.
Distribuisce payload dannosi tramite Cobalt Strike, backdoor personalizzate (ad esempio Zingdoor o GhostSpider) e HemiGate.
Trasferisce i dati raccolti a server o servizi esterni come AnonFiles, File.io e archivi pubblici.
Garantisce la persistenza ed elimina ogni traccia dell'infezione, rimuovendo malware presente malware ogni ciclo operativo.
TTP utilizzati da Salt Typhoon
Come rilevare Salt Typhoon Vectra AI
Elenco dei rilevamenti disponibili nella Vectra AI che potrebbero indicare un attacco informatico.
Domande frequenti
Quali sono i settori più colpiti da Salt Typhoon?
Salt Typhoon della tecnologia, della consulenza, chimico, dei trasporti, della pubblica amministrazione e delle organizzazioni no profit.
Quali sono gli strumenti più recenti utilizzati da Salt Typhoon?
Tra le nuove aggiunte figurano la backdoor GhostSpider, lo stealer SnappyBee e il rootkit Demodex.
In che modo Salt Typhoon riesce a Salt Typhoon l'invisibilità?
Utilizzano tecniche di autosufficienza e rootkit avanzati come Demodex.
Quali vulnerabilità sfruttano?
Tra le vulnerabilità sfruttate di recente figurano quelle presenti in Ivanti Connect Secure, Sophos Firewall e Microsoft Exchange.
In che modo Salt Typhoon i dati?
I dati rubati vengono caricati su AnonFiles, File.io o inviati tramite e-mail crittografate.
Sono collegati ad altri gruppi?
Si riscontrano punti in comune con APT cinesi quali FamousSparrow e altre entità legate al governo.
In che modo le organizzazioni possono monitorare la propria attività?
Monitorare la presenza di comandi PowerShell insoliti, il sideloading di DLL e Cobalt Strike .
Qual è il rischio per la catena di approvvigionamento?
Salt Typhoon i computer degli appaltatori per infiltrarsi in diverse organizzazioni attraverso rapporti di fiducia nella catena di approvvigionamento.
Quali misure consentono di mitigare gli attacchi?
Implementare strumentiendpoint , applicare la gestione delle patch e monitorare il traffico alla ricerca di modelli C&C noti.
Qual è la reazione a livello internazionale?
La condivisione collaborativa delle informazioni e l'adozione di strategie unificate sono fondamentali per mitigare questa minaccia crescente.