Volt Typhoon
Volt Typhoon un gruppo APT furtivo, sostenuto dallo Stato e legato alla Repubblica Popolare Cinese, che prende di mira organizzazioni che gestiscono infrastrutture critiche, principalmente negli Stati Uniti.
L'origine di Volt Typhoon
Volt Typhoon un gruppo di minacce persistenti avanzate (APT) sponsorizzato dallo Stato e collegato alla Repubblica Popolare Cinese (RPC). Attivo almeno dalla metà del 2021, questo gruppo APT è noto per prendere di mira organizzazioni che gestiscono infrastrutture critiche in tutti gli Stati Uniti. Le sue operazioni sono caratterizzate da tattiche furtive e dirette, volte allo spionaggio e al mantenimento dell'accesso per l'esfiltrazione di dati a lungo termine. Volt Typhoon parte del più ampio programma di spionaggio informatico della Cina, concentrandosi sulla compromissione di obiettivi strategici e sull'elusione del rilevamento facendo ampio ricorso agli strumenti integrati di Windows e alle tecniche "living-off-the-land".
Paesi interessati da Volt Typhoon
Sebbene l'attenzione si sia concentrata principalmente sugli Stati Uniti, è probabile che le attività Volt Typhoonnon abbiano limiti geografici, visti gli obiettivi di intelligence globali della Cina. Le operazioni del gruppo mirano a monitorare e, potenzialmente, a sfruttare gli avversari geopolitici.
Settori di riferimento di Volt Typhoon
Volt Typhoon su settori di importanza strategica, tra cui le telecomunicazioni, l'industria manifatturiera, i fornitori di servizi pubblici e i settori delle infrastrutture critiche come l'energia e i trasporti. Questi obiettivi indicano l'intenzione di raccogliere informazioni e, potenzialmente, di compromettere le operazioni.
Le vittime Volt Typhoon
Sebbene le organizzazioni specifiche spesso non vengano rivelate, Volt Typhoon osservato che Volt Typhoon compromette infrastrutture critiche e sfrutta i sistemi compromessi per la raccolta di dati. Le loro tattiche indicano un'attenzione particolare verso le organizzazioni in grado di fornire informazioni preziose per ottenere vantaggi strategici a livello nazionale.
Metodo di attacco Volt Typhoon
Volt Typhoon le vulnerabilità dei dispositivi connessi a Internet, in particolare delle apparecchiature di rete utilizzate in piccoli uffici e uffici domestici (SOHO), per ottenere un accesso iniziale. Le tecniche utilizzate includono il "password spraying" e lo sfruttamento di protocolli di gestione remota poco sicuri.
Una volta ottenuto l'accesso, il gruppo amplia i propri privilegi per acquisire un controllo più esteso sulla rete compromessa. Ciò comporta spesso l'uso improprio di credenziali legittime.
Volt Typhoon di tecniche di "living-off-the-land", utilizzando esclusivamente strumenti integrati in Windows, quali PowerShell e Windows Management Instrumentation (WMI), per eludere il rilevamento. Evita di distribuire malware mantenere la propria invisibilità.
Raccolgono credenziali utilizzando strumenti come Mimikatz e cercano informazioni sensibili all'interno delle reti compromesse.
Il gruppo utilizza comandi per identificare le configurazioni di sistema, gli account utente e la topologia di rete, consentendo così il movimento laterale e un ulteriore sfruttamento.
Volt Typhoon servizi remoti e RDP per muoversi all'interno dei sistemi compromessi, garantendo al contempo la sicurezza operativa.
Vengono individuati e raccolti i dati rilevanti, quali le comunicazioni via e-mail, i file sensibili e le informazioni relative all'infrastruttura.
La fase di esecuzione prevede l'esecuzione di script e comandi volti a garantire la persistenza e a raggiungere gli obiettivi operativi.
Estraggono i dati raccolti utilizzando protocolli di rete standard per mimetizzarli nel traffico normale ed eludere il rilevamento.
Volt Typhoon si concentra Volt Typhoon sulla raccolta di informazioni a lungo termine piuttosto che su azioni di disturbo immediate. Tuttavia, le sue capacità potrebbero consentire future operazioni di sabotaggio.
Volt Typhoon le vulnerabilità dei dispositivi connessi a Internet, in particolare delle apparecchiature di rete utilizzate in piccoli uffici e uffici domestici (SOHO), per ottenere un accesso iniziale. Le tecniche utilizzate includono il "password spraying" e lo sfruttamento di protocolli di gestione remota poco sicuri.
Una volta ottenuto l'accesso, il gruppo amplia i propri privilegi per acquisire un controllo più esteso sulla rete compromessa. Ciò comporta spesso l'uso improprio di credenziali legittime.
Volt Typhoon di tecniche di "living-off-the-land", utilizzando esclusivamente strumenti integrati in Windows, quali PowerShell e Windows Management Instrumentation (WMI), per eludere il rilevamento. Evita di distribuire malware mantenere la propria invisibilità.
Raccolgono credenziali utilizzando strumenti come Mimikatz e cercano informazioni sensibili all'interno delle reti compromesse.
Il gruppo utilizza comandi per identificare le configurazioni di sistema, gli account utente e la topologia di rete, consentendo così il movimento laterale e un ulteriore sfruttamento.
Volt Typhoon servizi remoti e RDP per muoversi all'interno dei sistemi compromessi, garantendo al contempo la sicurezza operativa.
Vengono individuati e raccolti i dati rilevanti, quali le comunicazioni via e-mail, i file sensibili e le informazioni relative all'infrastruttura.
La fase di esecuzione prevede l'esecuzione di script e comandi volti a garantire la persistenza e a raggiungere gli obiettivi operativi.
Estraggono i dati raccolti utilizzando protocolli di rete standard per mimetizzarli nel traffico normale ed eludere il rilevamento.
Volt Typhoon si concentra Volt Typhoon sulla raccolta di informazioni a lungo termine piuttosto che su azioni di disturbo immediate. Tuttavia, le sue capacità potrebbero consentire future operazioni di sabotaggio.
TTP utilizzati da Volt Typhoon
Come rilevare Volt Typhoon Vectra AI
Elenco dei rilevamenti disponibili nella Vectra AI che potrebbero indicare un attacco informatico.