Volt Typhoon שם לו למטרה תשתית אמריקאית קריטית באמצעות טכניקות שימוש בכלים קיימים

המתקפה מבוצעת על-ידי Volt Typhoon, גורם תחת חסון המדינה בסין שבדרך-כלל מתמקד בריגול ואיסוף מידע. Microsoft מעריכה בביטחון מתון שקמפיין זה של Volt Typhoon רודף אחר פיתוח של יכולות שיכולות לשבש תשתית תקשורת קריטית בין ארצות הברית לאזור אסיה, במהלך משברים עתידיים.

Volt Typhoon פעיל מאמצע שנת 2021 ושם לו למטרה ארגוני תשתית קריטית בגואם ובמקומות אחרים בארצות הברית. בקמפיין זה, הארגונים המושפעים מתרחבים למגזרי התקשורת, היצרנות, השירותים הציבוריים, התחבורה, הבנייה, הימאות, הממשל, טכנולוגיות המידע והחינוך. התנהגות שנצפתה מרמזת שגורם איום מתכוון לבצע ריגול ולשמור על גישה מבלי שיזהו אותו לזמן רב ככל שניתן.

כדי להשיג את המטרה שלו, גורם האיום שם דגש רב על חמקנות בקמפיין זה, כשהוא מסתמך באופן כמעט בלעדי על טכניקות שימוש בכלים קיימים ופעילות של מעורבות ישירה. הגורם מנפיק פקודות באמצעות שורת פקודה כדי (1) לאסוף נתונים, כולל אישורים ממערכות מקומיות ומערכות רשתות, (2) להכניס את הנתונים לתוך קובץ ארכיון כדי לאחסן אותו לצורך דליפה, ולאחר מכן (3) להשתמש באישורים החוקיים שנגנבו כדי לשמור על עקביות. בנוסף, Volt Typhoon מנסה להשתלב בתוך פעילות רשת רגילה על-ידי ניתוב תעבורה דרך ציוד רשת חשוף לסכנה במשרדים קטנים ומשרדים ביתיים (SOHO), כולל נתבים, חומות אש ותוכנת VPN. הוא גם נצפה משתמש בגרסאות מותאמות אישית של כלי קוד פתוח כדי לבסס ערוץ פקודה ובקרה (C2) על Proxy כדי להמשיך ולהישאר מתחת לרדאר.

 ברשומת בלוגזו, אנו חולקים מידע לגבי Volt Typhoon, הקמפיין שלהם ששם למטרה ספקי תשתית קריטיים, והטקטיקות שלהם להשגת גישה בלתי מורשית לרשתות שסומנו כמטרה, ושמירה על אותה גישה. מאחר שפעילות זו מסתמכת באופן פעיל על חשבונות חוקיים ועל שימוש בכלים בינאריים קיימים (LOLBins), זיהוי וצמצום של מתקפה זו עלול להיות מאתגר. חובה לסגור או לשנות חשבונות שנחשפו לסכנה. בסיומה של  רשומת בלוגזו, אנו נשתף כמה צעדי צמצום ושיטות עבודה מומלצות, וכן נספק פרטים לגבי האופן שבו Microsoft 365 Defender מזהה פעילות זדונית וחשודה כדי להגן על ארגונים מפני מתקפות חמקניות מסוג זה. הסוכנות לביטחון לאומי (NSA) פרסמה גם היא התרעת אבטחת סייבר [PDF] שמכילה מדריך ציד עבור הטקטיקות, הטכניקות והנהלים (TTPs) שנידונו ברשומת בלוג זו. עיינו הפרסום הבלוג המלא לקבלת מידע נוסף.

בדומה לכל פעילות נצפית של שחקן מדינת לאום, Microsoft יידעה ישירות את הלקוחות שהיו למטרה ושנחשפו לסכנה, סיפקה להם מידע חשוב שנחוץ כדי לאבטח את הסביבות שלהם. לקבלת מידע נוסף אודות הגישה של Microsoft למעקב אחר גורם איום, קרא את Microsoft עוברת לטקסונומיה חדשה של מתן שם לגורם איום