Digitale Bedrohungen aus Ostasien gewinnen an Reichweite und Effektivität

Chinesischen staatsnahe Bedrohungsakteure zeigen ein anhaltendes Interesse am Südchinesischen Meer und an Taiwan. Dies spiegelt sich auch in Chinas Bandbreite an wirtschaftlichen, verteidigungspolitischen und politischen Interessen in dieser Region wider.¹ Widersprüchliche Gebietsansprüche, zunehmende Spannungen zwischen Taiwan und den USA sowie eine verstärkte US-Militärpräsenz können die Motivation für Chinas offensive Cyberaktivitäten sein.²

Microsoft hat es auf Raspberry Typhoon (RADIUM) abgesehen. Die primäre Bedrohungsgruppe zielt auf Länder rund um das Südchinesische Meer ab. Raspberry Typhoon nimmt konsequent Ministerien, militärische Einrichtungen und Unternehmen ins Visier, die mit kritischen Infrastrukturen, insbesondere der Telekommunikation, verbunden sind. Seit Januar 2023 ist Raspberry Typhoon besonders hartnäckig. Raspberry Typhoon führt bei Angriffen auf Ministerien oder Infrastrukturen in der Regel nachrichtendienstliche Ermittlungen durch und führt Malware aus. In vielen Ländern reichen die Ziele von Verteidigungs- und Nachrichtendienstministerien bis hin zu Wirtschafts- und Handelsministerien.

Flax Typhoon (Storm-0919) ist die bekannteste Bedrohungsgruppe, die auf die Insel Taiwan abzielt. Diese Gruppe zielt in erster Linie auf Telekommunikations-, Bildungs-, Informationstechnologie- und Energieinfrastrukturen ab, indem sie in der Regel eine benutzerdefinierte VPN-Appliance einsetzt, um direkt in das Zielnetzwerk einzudringen. In ähnlicher Weise zielt Charcoal Typhoon (CHROMIUM) auf taiwanesische Bildungseinrichtungen, Energieinfrastruktur sowie High-Tech-Produktion ab. Im Jahr 2023 nahmen sowohl Charcoal Typhoon als auch Flax Typhoon taiwanesische Luft- und Raumfahrtunternehmen ins Visier, die Verträge mit dem taiwanesischen Militär haben.

Mehrere in China ansässige Bedrohungsgruppen zielen weiterhin auf die US-amerikanische Verteidigungsindustrie ab. Dazu gehören Circle Typhoon (DEV-0322), Volt Typhoon (DEV-0391) und Mulberry Typhoon (MANGANESE). Obwohl sich die Ziele dieser drei Gruppen gelegentlich überschneiden, handelt es sich um unterschiedliche Akteure mit unterschiedlichen Infrastrukturen und Fähigkeiten.³

Circle Typhoon führt zahlreiche Cyberaktivitäten gegen die US-amerikanische Verteidigungsindustrie durch. Unter anderem entwickelt die Gruppe Ressourcen, sammelt Daten, verschafft sich Erstzugriffe und Zugang zu Anmeldeinformationen. Circle Typhoon nutzt häufig VPN-Geräte, um IT-Unternehmen und in den USA ansässige Verteidigungsunternehmen anzugreifen. Volt Typhoon hat auch zahlreiche US-Rüstungsunternehmen ausspioniert. Guam ist eines der häufigsten Ziele dieser Kampagnen, insbesondere die dort ansässigen Einrichtungen für Satellitenkommunikation und Telekommunikation.⁴

Eine häufige Taktik von Volt Typhoon besteht darin, kleine Büro- und Heimrouter zu kompromittieren, in der Regel mit dem Ziel, eine Infrastruktur aufzubauen.⁵ Mulberry Typhoon hat auch die Basis der US-amerikanischen Verteidigungsindustrie ins Visier genommen, vor allem mit einem Zero-Day-Exploit, der auf Geräte abzielt.⁶ Die verstärkten Angriffe auf Guam sind von großer Bedeutung, da Guam das am nächsten zu Ostasien gelegene US-Territorium ist und für die US-Strategie in der Region eine wichtige Rolle spielt.

Microsoft hat in den letzten sechs Monaten beobachtet, dass chinesische staatsnahe Bedrohungsgruppen die kritische US-Infrastruktur in mehreren Sektoren ins Visier nehmen und erhebliche Ressourcen entwickeln. Volt Typhoon ist mindestens seit dem Sommer 2021 die Hauptgruppe hinter dieser Aktivität, und ihr Ausmaß ist noch immer nicht vollständig geklärt.

Zu den Zielsektoren gehören das Verkehrswesen (z. B. Häfen und Schienenverkehr), die Versorgungswirtschaft (z. B. Energie und Wasseraufbereitung), die medizinische Infrastruktur (einschließlich Krankenhäuser) und die Telekommunikationsinfrastruktur (einschließlich Satellitenkommunikation und Glasfasersysteme). Nach Schätzung von Microsoft könnte diese Kampagne China in die Lage versetzen, kritische Infrastrukturen und die Kommunikation zwischen den USA und Asien zu stören.⁷

Ab dem 15. Mai verwendete der in China ansässige Bedrohungsakteur Storm-0558 gefälschte Authentifizierungstoken, um auf die E-Mail-Konten von Microsoft-Kunden von etwa 25 Organisationen zuzugreifen, darunter auch US-amerikanische und europäische Regierungsstellen.⁸ Microsoft hat diese Kampagne erfolgreich blockiert. Ziel des Angriffs war es, unbefugten Zugriff auf E-Mail-Konten zu erhalten. Nach Einschätzung von Microsoft entsprach diese Aktivität den Spionagezielen von Storm-0558. Storm-0558 hat bereits zuvor diplomatische Einrichtungen der USA und Europas angegriffen.

Erstens werden Operationen, in denen Videos und visuelle Medien verwendet werden, immer mehr zur Norm. KPCh-nahe Netzwerke nutzen schon seit langem KI-generierte Profilbilder und haben in diesem Jahr KI-generierte Kunst für visuelle Memes eingeführt. Staatlich unterstützte Akteure werden auch weiterhin private Content-Studios und PR-Firmen nutzen, um Propaganda auf Abruf auszulagern.³⁵

Zweitens wird sich China weiterhin um ein authentisches Publikum bemühen und Zeit und Ressourcen in die Pflege von sozialen Medien investieren. Influencerinnen und Influencer, die fundierte kulturelle und sprachliche Kenntnissen haben und qualitativ hochwertige Videoinhalten erstellen, werden als Pioniere für die erfolgreiche Bindung von Nutzerinnen und Nutzern in den sozialen Medien angesehen. Die KPCh wird einige dieser Taktiken anwenden – darunter die Interaktion mit Nutzern sozialer Medien und die Demonstration kultureller Kenntnisse – um ihre verdeckten Kampagnen in den sozialen Medien zu unterstützen.

Drittens werden Taiwan und die Vereinigten Staaten wahrscheinlich die beiden wichtigsten Prioritäten für die chinesischen Cyberoperationen und Desinformationskampagnen bleiben, insbesondere aufgrund der bevorstehenden Wahlen in beiden Ländern im Jahr 2024. Da KPCh-verbündete Akteure die letzten Wahlen in den USA beeinflusst haben, kann angenommen werden, dass sie dies erneut tun werden. Akteure, die sich in den sozialen Medien als US-Wähler ausgeben, werden wahrscheinlich ein höheres Maß an Raffinesse präsentieren. Indem sie Inhalte verbreiten, die den Vereinigten Staaten kritisch gegenüberstehen, können sie aktiv zu rassistischen, sozioökonomischen und ideologischen Konflikten beitragen.