Digitale trusler fra Øst-Asia øker i omfang og effektivitet

Kinesiske statstilknyttede trusselaktører viser fortsatt interesse i Sør-Kina-havet og Taiwan, noe som gjenspeiler Kinas brede spekter av økonomiske, forsvarsrelaterte og politiske interesser i dette området..¹ Motstridende territoriale krav, stigende spenning i Kina-Taiwan-konflikten, og en økt tilstedeværelse av amerikansk militære kan alle være motivasjoner for Kinas offensive cyberaktiviteter.²

Microsoft har sporet Raspberry Typhoon (RADIUM) som primær trusselgruppe som retter seg mot land som omringer Sør-Kina-havet. Raspberry Typhoon retter seg kontinuerlig mot myndighetsdepartementer, militære instanser og bedriftsenheter koblet til kritisk infrastruktur, særlig telekommunikasjon. Siden januar 2023 har Raspberry Typhoon vært spesielt utholdende. Ved målretting mot myndighetsdepartementer eller infrastruktur, utfører Raspberry Typhoon vanligvis innsamling av informasjon og bruk av skadelig programvare. I mange land varierer målene fra forsvars- og informasjonstilknyttede departementer til økonomiske og handelstilknyttede departementer.

Flax Typhoon (Storm-0919) er den mest fremtredende trusselgruppen som retter seg mot øya Taiwan. Denne gruppen retter seg primært mot telekommunikasjons-, utdannings-, informasjonsteknologi-, og energiinfrastruktur, vanligvis ved å utnytte et tilpasset VPN-utstyr for å etablere en direkte tilstedeværelse i målnettverket. På samme måte retter Charcoal Typhoon (CHROMIUM) seg mot taiwanske utdanningsinstitusjoner, energiinfrastruktur og høyteknologisk produksjon. I 2023 rettet både Charcoal Typhoon og Flax Typhoon seg mot taiwanske luftfartsinstanser som hadde kontrakt med taiwansk militære.

Flere Kina-baserte trusselgrupper fortsetter å rette seg mot den industrielle basen til det amerikanske forsvaret, nemlig Circle Typhoon (DEV-0322), Volt Typhoon (DEV-0391) og Mulberry Typhoon (MANGANESE). Selv om målene til disse tre gruppene av og til overlapper, er de distinkte aktører med ulik infrastruktur og funksjon.³

Circle Typhoon gjennomfører et bredt spekter av cyberaktivitet mot den industrielle basen til det amerikanske forsvaret, inkludert ressursutvikling, innsamling, innledende tilgang og legitimasjonstilgang. Circle Typhoon utnytter ofte VPN-utstyr for å rette seg mot IT og USA-baserte forsvarsleverandører. Volt Typhoon har også gjennomført rekognosering mot en rekke leverandører for det amerikanske forsvaret. Guam er ett av de hyppigste målene til disse kampanjene, særlig satelittkommunikasjons- og telekommunikasjons-instanser befinner seg der.⁴

En hyppig taktikk Volt Typhoon bruker, involverer å kompromittere små kontor- og hjemmerutere, vanligvis med det formål å bygge infrastruktur.⁵ Mulberry Typhoon har også rettet seg mot den industrielle basen til det amerikanske forsvaret, spesielt med en nulldagsutnyttelse som retter seg mot enheter.⁶ Økt målretting av Guam er betydelig med tanke på posisjonen som nærmeste amerikanske territorium til Øst-Asia og viktig for amerikansk strategi i området.

Microsoft har observert at kinesiske statstilknyttede trusselgrupper retter seg mot kritisk infrastruktur i USA på tvers av flere sektorer og betydelig ressursutvikling de siste seks månedene. Volt Typhoon har vært den primære gruppen bak denne aktiviteten siden sommeren 2021, og omfanget av denne aktiviteten er fremdels ikke helt kjent.

Målrettede sektorer omfatter transport (som havner og jernbane), forsyningstjenester (som energi og vannbehandling), medisinsk infrastruktur (inkludert sykehus) og telekommunikasjonsinfrastruktur (inkludert satelittkommunikasjon og fiberoptiske systemer). Microsoft vurderer at denne kampanjen kan gi Kina funksjoner som kan avbryte kritisk infrastruktur og kommunikasjon mellom USA og Asia.⁷

Fra og med 15. mai brukte Storm-0558, en Kina-basert trusselaktør, forfalskede godkjenningstokener for å få tilgang til Microsofts kunde-e-postkontoer for omtrent 25 organisasjoner, inkludert amerikanske og europeiske myndighetsinstanser.⁸ Microsoft har lykkes i å blokkere denne kampanjen. Målsettingen til dette angrepet var å oppnå uautorisert tilgang til e-postkontoer. Microsoft Corporation vurderer at denne aktiviteten var konsistent med Storm-0558s spionasjemålsettinger. Storm-0558 har tidligere rettet seg mot amerikanske og europeiske diplomatiske instanser.

For det første har operasjoner som bruker video og visuelle medier, blitt normen. CCP-tilknyttede nettverk har lenge brukt profilbilder generert av kunstig intelligens, og har i år tatt i bruk kunst generert av kunstig intelligens for visuelle memer. Aktører som støttes av staten, vil også fortsette å benytte seg av private innholdsstudioer og offentlige relasjonsfirmaer for å utkontraktere behovsbetinget propaganda.³⁵

For det andre vil Kina fortsette å se etter autentisk engasjement, og investere tid og ressurser i kultiverte sosiale medieressurser. Påvirkere med dyp kulturell og lingvistisk kunnskap og høykvalitets videoinnhold har blitt pionerer for vellykket kommunikasjon på sosiale medier. CCP gjelder for noen av disse taktikkene, inkludert samhandling med brukere av sosiale medier og vise kulturell kunnskap for å støtte de skjulte kampanjene på sosiale medier.

For det tredje vil Taiwan og USA sannsynligvis forbli de to største prioriteringene til kinesisk IO, særlig med kommende valg i begge land i 2024. Med tanke på at CPP-tilpassede påvirkningsaktører nylig har rettet seg mot amerikanske valg, er det nesten sikkert at de vil gjør det igjen. Sosiale medieressurser som gir seg ut for å være amerikanske velgere, vil sannsynligvis vise høyere grad av kompleksitet, og aktivt skape splid langs rasemessige, sosioøkonomiske og ideologiske linjer med innhold som er svært kritisk til USA.