Các mối đe dọa kỹ thuật số từ Đông Á ngày càng gia tăng về quy mô và hiệu quả

Các tác nhân đe dọa được nhà nước Trung Quốc hậu thuẫn tiếp tục thể hiện sự quan tâm đến Biển Đông và Đài Loan, điều này phản ánh nhiều lợi ích kinh tế, quốc phòng và chính trị của Trung Quốc trong khu vực này.¹ Các tuyên bố xung đột về lãnh thổ, căng thẳng xuyên eo biển gia tăng và sự hiện diện về quân sự ngày càng tăng của Mỹ đều có thể là động lực cho các hoạt động tấn công mạng của Trung Quốc.²

Microsoft đã theo dõi Raspberry Typhoon (RADIUM) là nhóm đe dọa chính nhắm vào các quốc gia bao quanh Biển Đông. Raspberry Typhoon liên tục nhắm mục tiêu vào các bộ thuộc chính phủ, tổ chức quân sự và tổ chức doanh nghiệp kết nối với cơ sở hạ tầng quan trọng, đặc biệt là viễn thông. Kể từ tháng 1 năm 2023, Raspberry Typhoon hoạt động đặc biệt dai dẳng. Khi nhắm mục tiêu vào các bộ thuộc chính phủ hoặc cơ sở hạ tầng, Raspberry Typhoon thường tiến hành thu thập thông tin tình báo và thực thi phần mềm xấu. Ở nhiều quốc gia, các mục tiêu sẽ thay đổi, từ các bộ liên quan đến quốc phòng và tình báo đến các bộ liên quan đến kinh tế và thương mại.

Flax Typhoon (Storm-0919) là nhóm đe dọa nổi bật nhất nhắm vào đảo Đài Loan. Nhóm này chủ yếu nhắm mục tiêu vào cơ sở hạ tầng viễn thông, giáo dục, công nghệ thông tin và năng lượng, thường bằng cách tận dụng thiết bị VPN tùy chỉnh để trực tiếp thiết lập sự hiện diện trong mạng mục tiêu. Tương tự, Charcoal Typhoon (CHROMIUM) cũng nhắm đến các cơ sở giáo dục, cơ sở hạ tầng năng lượng và sản xuất công nghệ cao của Đài Loan. Năm 2023, cả Charcoal Typhoon và Flax Typhoon đều nhắm vào các đơn vị hàng không vũ trụ Đài Loan có hợp đồng với quân đội Đài Loan.

Nhiều nhóm đe dọa có trụ sở tại Trung Quốc tiếp tục nhắm mục tiêu vào cơ sở công nghiệp quốc phòng của Hoa Kỳ, cụ thể là Circle Typhoon (DEV-0322), Volt Typhoon (DEV-0391) và Mulberry Typhoon (MANGANESE). Mặc dù mục tiêu của ba nhóm này đôi khi trùng nhau nhưng chúng là những tác nhân riêng biệt với cơ sở hạ tầng và năng lực khác nhau.³

Circle Typhoon tiến hành một loạt hoạt động trên mạng chống lại cơ sở công nghiệp quốc phòng của Hoa Kỳ bao gồm phát triển tài nguyên, thu thập, truy nhập ban đầu và truy nhập thông tin xác thực. Circle Typhoon thường tận dụng các thiết bị VPN để nhắm mục tiêu vào các nhà thầu CNTT và quốc phòng có trụ sở tại Hoa Kỳ. Volt Typhoon cũng đã tiến hành do thám nhiều nhà thầu quốc phòng Mỹ. Guam là một trong những mục tiêu thường xuyên nhất của các chiến dịch này, đặc biệt là các tổ chức viễn thông và thông tin vệ tinh đặt tại đó.⁴

Một chiến thuật thường thấy của Volt Typhoon liên quan đến việc xâm phạm các bộ định tuyến tại nhà và văn phòng nhỏ, thường nhằm mục đích xây dựng cơ sở hạ tầng.⁵ Mulberry Typhoon cũng đã nhắm mục tiêu vào cơ sở công nghiệp quốc phòng của Hoa Kỳ, đáng chú ý nhất là với các thiết bị nhắm mục tiêu khai thác lỗ hổng ngày 0.⁶ Việc tăng cường nhắm mục tiêu vào Guam có ý nghĩa quan trọng do đây là lãnh thổ gần nhất của Mỹ với Đông Á và rất quan trọng đối với chiến lược của Mỹ trong khu vực.

Microsoft đã quan sát thấy các nhóm đe dọa liên kết với nhà nước Trung Quốc nhắm mục tiêu vào cơ sở hạ tầng quan trọng của Hoa Kỳ trên nhiều lĩnh vực và quá trình phát triển tài nguyên quan trọng trong sáu tháng qua. Volt Typhoon là nhóm chính đứng sau hoạt động này ít nhất kể từ mùa hè năm 2021 và phạm vi của hoạt động này vẫn chưa được xác định rõ.

Các lĩnh vực bị nhắm đến bao gồm giao thông vận tải (như cảng và đường sắt), tiện ích (như năng lượng và xử lý nước), cơ sở hạ tầng y tế (bao gồm cả bệnh viện) và cơ sở hạ tầng viễn thông (bao gồm cả hệ thống thông tin vệ tinh và cáp quang). Microsoft đánh giá rằng chiến dịch này có thể mang lại cho Trung Quốc khả năng phá vỡ cơ sở hạ tầng và phương thức liên lạc quan trọng giữa Hoa Kỳ và châu Á.⁷

Bắt đầu từ ngày 15 tháng 5, Storm-0558, một tác nhân đe dọa có trụ sở tại Trung Quốc, đã sử dụng mã thông báo xác thực giả mạo để truy nhập vào tài khoản email khách hàng của Microsoft của khoảng 25 tổ chức, bao gồm cả các tổ chức chính phủ thuộc Hoa Kỳ và châu Âu.⁸ Microsoft đã chặn thành công chiến dịch này. Mục tiêu của cuộc tấn công là để có được quyền truy nhập trái phép vào tài khoản email. Microsoft đánh giá hoạt động này phù hợp với mục tiêu do thám của Storm-0558. Storm-0558 trước đây đã nhắm mục tiêu vào các cơ quan ngoại giao của Hoa Kỳ và châu Âu.

Đầu tiên, các hoạt động sử dụng phương tiện video và hình ảnh đang trở thành tiêu chuẩn. Các mạng liên kết với ĐCSTQ từ lâu đã sử dụng ảnh hồ sơ do AI tạo ra và năm nay đã áp dụng tác phẩm nghệ thuật do AI tạo ra cho các meme hình ảnh. Các tổ chức được nhà nước hậu thuẫn cũng sẽ tiếp tục khai thác các studio nội dung tư nhân và các công ty quan hệ công chúng để thuê ngoài hoạt động tuyên truyền theo yêu cầu.³⁵

Thứ hai, Trung Quốc sẽ tiếp tục tìm kiếm sự tham gia thực sự của đối tượng, đầu tư thời gian và nguồn lực vào các nội dung mạng xã hội được trau chuốt. Những người có tầm ảnh hưởng với kiến thức sâu sắc về văn hóa và ngôn ngữ cũng như nội dung video chất lượng cao là những người tiên phong trong việc tương tác thành công trên mạng xã hội. ĐCSTQ sẽ áp dụng một số chiến thuật này, bao gồm tương tác với người dùng mạng xã hội và thể hiện bí quyết về văn hóa, để củng cố các chiến dịch truyền thông xã hội bí mật của mình.

Thứ ba, Đài Loan và Hoa Kỳ có thể vẫn là hai ưu tiên hàng đầu của IO từ Trung Quốc, đặc biệt với cuộc bầu cử sắp tới ở cả hai nước vào năm 2024. Do những tác nhân gây ảnh hưởng liên kết với ĐCSTQ đã nhắm mục tiêu vào các cuộc bầu cử ở Hoa Kỳ trong thời gian gần đây, nên gần như chắc chắn rằng họ sẽ làm như vậy một lần nữa. Các nội dung mạng xã hội mạo danh cử tri Hoa Kỳ có thể sẽ thể hiện mức độ tinh vi cao hơn, tích cực gieo rắc sự bất hòa theo các đường lối chủng tộc, kinh tế xã hội và hệ tư tưởng với nội dung chỉ trích gay gắt Hoa Kỳ.