El APT respaldado por China «Volt Typhoon» se infiltra en organizaciones críticas de infraestructura de EE. UU.

Los actores de amenazas respaldados por China han logrado establecer un acceso persistente a las redes de telecomunicaciones y otros objetivos de infraestructura crítica en los EE. UU., con el propósito observado de espionaje, y potencialmente la capacidad de bloquear las comunicaciones más tarde en caso de un conflicto militar en el Mar de China Meridional. y el Pacífico más amplio.

Esto es según un Investigación actual de Microsoft, que Advanced Persistent Threat (APT) llama «Volt Typhoon». Es un conocido grupo patrocinado por el estado que ha sido observado realizando actividades de ciberespionaje en el pasado por investigadores de Microsoft, Mandiant y otros lugares.

Si bien el espionaje parece ser el objetivo actual, bien podría haber un objetivo aún más siniestro en juego. «Microsoft confía moderadamente en que esta campaña de Volt Typhoon busca desarrollar capacidades que podrían interrumpir la infraestructura de comunicaciones crítica entre los Estados Unidos y la región asiática en futuras crisis», dijo el análisis.

Las primeras señales de compromiso aparecían en las redes de telecomunicaciones de Guam, informó un Informe del New York Times antes de que se publiquen los resultados. La Agencia de Seguridad Nacional descubrió estos robos casi al mismo tiempo que ese globo espía chino Según el informe, fue noticia por su intrusión en el espacio aéreo estadounidense. Luego contrató a Microsoft para que investigara más a fondo y finalmente descubrió una amplia red de compromisos en múltiples sectores, con un enfoque particular en los destinos de transporte aéreo, de comunicaciones, marítimo y terrestre.

¿Un objetivo en la sombra? Sentando las bases para la disrupción

El descubrimiento de la actividad se produce en el contexto de las gélidas relaciones de Estados Unidos con Pekín; Las dos superpotencias han flaqueado en su diplomacia desde que se lanzó el globo, y se han intensificado en medio de temores de que la invasión de Ucrania por parte de Rusia pueda hacerlo. Alentar a China a hacer lo mismo en Taiwán.

En caso de una crisis militar, un ataque cibernético devastador a la infraestructura crítica de EE. UU. podría interrumpir las comunicaciones y obstaculizar la capacidad del país para acudir en ayuda de Taiwán, según el informe del Times. O, según John Hultquist, analista principal de Mandiant Intelligence – Google Cloud, un ataque disruptivo podría usarse como un proxy para la acción cinética.

“Estas operaciones son agresivas y potencialmente peligrosas, pero no necesariamente indican que los ataques sean inminentes”, dijo en un comunicado enviado por correo electrónico. “Un indicador mucho más confiable de [a] Un ciberataque destructivo y disruptivo es una situación geopolítica en deterioro. Incluso un ataque cibernético destructivo y disruptivo no es solo un escenario de guerra. Esta capacidad puede ser utilizada por los estados que buscan alternativas al conflicto armado”.

Llamó a tales preparativos «intervenciones de emergencia», y agregó que China ciertamente no está sola al realizarlas, aunque este es particularmente el caso de las APT respaldadas por China. Por lo general, la atención se centra mucho más en el espionaje cibernético que en la destrucción..

«Rusia se ha centrado en una variedad de sectores de infraestructura crítica durante la última década con operaciones que no creemos que hayan sido diseñadas para un impacto inmediato», señaló Hultquist. “Los actores chinos de amenazas cibernéticas son únicos en comparación con sus pares en el sentido de que no han recurrido regularmente a ataques cibernéticos destructivos y disruptivos. Como tal, sus habilidades son bastante opacas”.

Un enfoque observado en el sigilo y el espionaje.

Para obtener el primer acceso, Volt Typhoon compromete los dispositivos Fortinet FortiGuard conectados a Internet, un objetivo popular para los atacantes cibernéticos de todas las tendencias (Microsoft todavía está investigando cómo atacarlos en este caso). Una vez que el APT está en la caja, utiliza los privilegios del dispositivo para extraer las credenciales de la cuenta de Active Directory y autenticarse en otros dispositivos de la red.

Una vez dentro, el actor patrocinado por el estado utiliza la línea de comando y Binarios residentes fuera del país «para encontrar información en el sistema, descubrir dispositivos adicionales en la red y filtrar datos», dice el análisis.

Para cubrir sus huellas, Volt Typhoon enruta el tráfico de su red a través de enrutadores SOHO (oficina pequeña/oficina doméstica) comprometidos y otros dispositivos periféricos de ASUS, Cisco, D-Link, NETGEAR y Zyxel, lo que le permite integrarse en la actividad normal de la red. Los investigadores de Microsoft encontraron.

La publicación también ofrece consejos de mitigación e indicadores de compensación, y la NSA ha publicado un tándem Nota sobre Volt Typhoon (PDF) con detalles sobre cómo cazar la amenaza.