Digitale bedreigingen uit Oost-Azië nemen toe in de reikwijdte en effectiviteit

Aan de Chinese staat gerelateerde bedreigingsactoren zijn nog altijd geïnteresseerd in de Zuid-Chinese Zee en Taiwan, wat China's grote scala aan economische, politieke en defensie-interesses in deze regio weerspiegelt.¹ Conflicterende territoriale claims, toenemende spanningen tussen China en Taiwan en een grotere aanwezigheid van het Amerikaanse leger kunnen allemaal motivaties zijn voor China's offensieve cyberactiviteiten.²

Microsoft heeft Raspberry Typhoon (RADIUM) geïdentificeerd als de voornaamste bedreigingsgroep die landen rondom de Zuid-Chinese Zee aanvalt. Raspberry Typhoon richt zich consistent op overheidsministeries, militaire entiteiten en bedrijfsentiteiten die verbonden zijn met kritieke infrastructuur, met name telecom. Vooral sinds januari 2023 is Raspberry Typhoon erg persistent geweest. Wanneer Raspberry Typhoon overheidsministeries of infrastructuur aanvalt, gebeurt dat meestal door informatieverzameling en malware-uitvoering. In veel landen variëren doelwitten van defensie en informatiegerelateerde ministeries tot economische en handelsgerelateerde ministeries.

Flax Typhoon (Storm-0919) is de meest prominente bedreigingsgroep die het eiland Taiwan als doelwit heeft. Deze groep richt zich voornamelijk op telecommunicatie, onderwijs, informatietechnologie en energie-infrastructuur, meestal door gebruik te maken van een aangepast VPN-apparaat om rechtstreeks een aanwezigheid in het doelnetwerk te creëren. Op dezelfde manier richt Charcoal Typhoon (CHROMIUM) zich op Taiwanese onderwijsinstellingen, energie-infrastructuur en hightech productie. In 2023 richtte zowel Charcoal Typhoon als Flax Typhoon zich op Taiwanese ruimtevaartentiteiten die een contract hadden met het Taiwanese leger.

Meerdere bedreigingsgroepen in China blijven de industriële basis van de Amerikaanse defensie aanvallen, namelijk Circle Typhoon (DEV-0322), Volt Typhoon (DEV-0391) en Mulberry Typhoon (MANGANESE). Hoewel de doelwitten van deze drie groepen soms overlappen, zijn het afzonderlijke actoren met verschillende capaciteiten en infrastructuur.³

Circle Typhoon voert vele verschillende cyberactiviteiten uit tegen de industriële basis van de Amerikaanse defensie, waaronder bronontwikkeling, verzameling, initiële toegang en referentietoegang. Circle Typhoon maakt vaak gebruik van VPN-apparaten om zich op IT- en VS-gebaseerde defensie-aannemers te richten. Volt Typhoon heeft ook een verkenning uitgevoerd naar talrijke defensie-aannemers in de VS. Guam is een van de meest frequente doelwitten van deze campagnes, vooral de satellietcommunicatie- en telecommunicatie-entiteiten die daar zijn gevestigd.⁴

Een tactiek die Volt Typhoon vaak gebruikt, omvat het compromitteren van routers in kleine kantoren en thuiskantoren, meestal met als doel om infrastructuur te bouwen.⁵ Mulberry Typhoon heeft zich ook gericht op de industriële basis van de Amerikaanse defensie, met name met een zero-day-aanval op apparaten.⁶ Dat Guam steeds vaker het doelwit is, is veelbetekenend omdat het het dichtstbijzijnde Amerikaanse territorium bij Oost-Azië is en cruciaal is voor de Amerikaanse strategie in de regio.

Microsoft heeft de afgelopen zes maanden aan de Chinese staat gerelateerde bedreigingsgroepen geobserveerd die zich richten op Amerikaanse kritieke infrastructuur in meerdere sectoren en aanzienlijke bronontwikkeling. Volt Typhoon is ten minste sinds de zomer van 2021 de voornaamste groep achter deze activiteit, en de omvang van deze activiteit is nog steeds niet helemaal bekend.

Getroffen sectoren zijn onder meer transport (zoals havens en spoorwegen), nutsvoorzieningen (zoals energie en waterzuivering), medische infrastructuur (waaronder ziekenhuizen) en telecommunicatie-infrastructuur (waaronder satellietcommunicatie en glasvezelsystemen). Microsoft stelt vast dat deze campagne China capaciteiten zou kunnen geven om kritieke infrastructuur en communicatie tussen de Verenigde Staten en Azië te verstoren.⁷

Op 15 mei begon Storm-0558, een bedreigingsactor in China, vervalste verificatietokens te gebruiken om toegang tot e-mailaccounts van Microsoft-klanten te krijgen bij ongeveer 25 organisaties, waaronder Amerikaanse en Europese overheidsentiteiten.⁸ Microsoft heeft deze campagne succesvol geblokkeerd. Het doel van de aanval was onbevoegde toegang tot e-mailaccounts te krijgen. Microsoft stelt vast dat deze activiteit consistent was met de spionagedoelen van Storm-0558. Storm-0558 had eerder al Amerikaanse en Europese diplomatieke entiteiten als doelwit.

Ten eerste worden operaties die gebruikmaken van video en visuele media de norm. CCP-gerelateerde netwerken gebruiken al lange tijd AI-gegenereerde profielafbeeldingen, en hebben dit jaar AI-gegenereerde kunst voor visuele memes in gebruik genomen. Door de staat gesteunde actoren zullen ook particuliere contentstudio's en pr-bedrijven blijven gebruiken om propaganda op aanvraag te outsourcen.³⁵

Ten tweede zal China authentieke betrokkenheid met doelgroepen blijven zoeken door tijd en bronnen te investeren in gecultiveerde social media-middelen. Influencers met grondige culturele en taalkundige kennis en hoogwaardige videocontent zijn pioniers geweest voor succesvolle social media-betrokkenheid. De CCP zal een aantal van deze tactieken toepassen, zoals met social media-gebruikers communiceren en culturele knowhow demonstreren, om zijn heimelijke social media-campagnes te bevorderen.

Ten derde zullen Taiwan en de Verenigde Staten waarschijnlijk de twee topprioriteiten voor Chinese beïnvloedingsoperaties blijven, vooral met de komende verkiezingen in beide landen in 2024. Aangezien CCP-gerelateerde beïnvloedingsactoren zich recentelijk op Amerikaanse verkiezingen hebben gericht, is het vrijwel zeker dat ze dat nogmaals zullen doen. Social media-middelen die zich voordoen als Amerikaanse kiezers zullen waarschijnlijk geavanceerder zijn en actief voor wrijvingen zorgen op raciaal, sociaaleconomisch en ideologisch gebied met content die de Verenigde Staten hevig bekritiseert.