Κινέζοι χάκερ κατάφεραν να εισβάλλουν στο δίκτυο υποδομών των ΗΠΑ και να παραμένουν αθόρυβοι για 5 ολόκληρα χρόνια

Η κινεζική ομάδα κυβερνοκατασκοπείας

Volt Typhoon

διείσδυσε σε δίκτυο υποδομής ζωτικής σημασίας στις Ηνωμένες Πολιτείες και παρέμεινε απαρατήρητη για τουλάχιστον πέντε χρόνια πριν ανακαλυφθεί, σύμφωνα με κοινή συμβουλή από την CISA, την NSA, το FBI και τις συνεργαζόμενες υπηρεσίες Five Eyes.

Οι χάκερ Volt Typhoon είναι γνωστοί για την εκτεταμένη χρήση τεχνικών που ζουν από την ξηρά (LOTL) ως μέρος των επιθέσεων τους σε οργανισμούς υποδομής ζωτικής σημασίας.

Χρησιμοποιούν επίσης κλεμμένους λογαριασμούς και αξιοποιούν ισχυρή λειτουργική ασφάλεια, η οποία τους επιτρέπει να αποφεύγουν τον εντοπισμό και να διατηρούν μακροπρόθεσμη επιμονή σε παραβιασμένα συστήματα.

«Στην πραγματικότητα, τα γραφεία σύνταξης των ΗΠΑ παρατήρησαν πρόσφατα ενδείξεις ότι οι ηθοποιοί του Volt Typhoon διατηρούν την πρόσβαση και τα ερείσματα σε ορισμένα περιβάλλοντα πληροφορικής των θυμάτων για τουλάχιστον πέντε χρόνια», τα πρακτορεία.

είπε

.

“Οι ηθοποιοί του Volt Typhoon πραγματοποιούν εκτεταμένη αναγνώριση πριν από την εκμετάλλευση για να μάθουν για τον οργανισμό-στόχο και το περιβάλλον του, προσαρμόζουν τις τακτικές, τις τεχνικές και τις διαδικασίες τους (TTP) στο περιβάλλον του θύματος και αφιερώνουν συνεχείς πόρους για τη διατήρηση της επιμονής και την κατανόηση του περιβάλλοντος στόχου με την πάροδο του χρόνου , ακόμη και μετά από αρχικό συμβιβασμό».

Η κινεζική ομάδα

απε

ιλών έχει παραβιάσει με επιτυχία τα δίκτυα πολλών οργανισμών υποδομής ζωτικής σημασίας σε όλες τις Ηνωμένες Πολιτείες, ενώ στοχεύει κυρίως τους τομείς των επικοινωνιών, της ενέργειας, των μεταφορών και του νερού/λυμάτων.

​Οι στόχοι και οι τακτικές του επίσης αποκλίνουν από τις τυπικές δραστηριότητες κυβερνοκατασκοπείας, οδηγώντας τις αρχές στο συμπέρασμα με μεγάλη σιγουριά ότι η ομάδα στοχεύει να τοποθετηθεί σε δίκτυα που τους παρέχουν πρόσβαση σε περιουσιακά στοιχεία Επιχειρησιακής Τεχνολογίας (OT) με τελικό στόχο τη διακοπή της υποδομής ζωτικής σημασίας.

Οι αρχές των ΗΠΑ φοβούνται επίσης ότι ο Volt Typhoon εκμεταλλεύεται αυτή την πρόσβαση σε κρίσιμα δίκτυα για να προκαλέσει ανασταλτικά αποτελέσματα, ιδιαίτερα εν μέσω πιθανών στρατιωτικών συγκρούσεων ή γεωπολιτικών εντάσεων.

«Οι ηθοποιοί του Volt Typhoon επιδιώκουν να τοποθετηθούν εκ των προτέρων —χρησιμοποιώντας τεχνικές ζωντανής από τη στεριά (LOTL)— σε δίκτυα πληροφορικής για αποδιοργανωτική ή καταστροφική δραστηριότητα στον κυβερνοχώρο κατά των κρίσιμων υποδομών των ΗΠΑ σε περίπτωση μεγάλης κρίσης ή σύγκρουσης με τις Ηνωμένες Πολιτείες». CISA

προειδοποίησε

.

«Αυτό είναι κάτι που αντιμετωπίζουμε εδώ και πολύ καιρό»

είπε

Rob Joyce, Διευθυντής Κυβερνοασφάλειας της NSA και Αναπληρωτής Εθνικός Διευθυντής για Εθνικά Συστήματα Ασφαλείας (NSS).

«Έχουμε γίνει καλύτεροι σε όλες τις πτυχές αυτού του θέματος, από την κατανόηση του πεδίου εφαρμογής του Volt Typhoon, τον εντοπισμό των συμβιβασμών που ενδέχεται να επηρεάσουν τα συστήματα υποδομής ζωτικής σημασίας, τη σκλήρυνση των στόχων ενάντια σε αυτές τις εισβολές, έως τη συν

εργασία

με συνεργαζόμενες υπηρεσίες για την καταπολέμηση των φορέων στον κυβερνοχώρο της ΛΔΚ».

Συμβουλές μετριασμού για υπερασπιστές δικτύου

Η σημερινή συμβουλευτική συνοδεύεται επίσης από α

τεχνικός οδηγός

με πληροφορίες για τον τρόπο ανίχνευσης τεχνικών Volt Typhoon και εάν χρησιμοποιήθηκαν για να παραβιάσουν τα δίκτυα του οργανισμού τους, καθώς και μέτρα μετριασμού για την ασφάλειά τους από επιτιθέμενους που χρησιμοποιούν τεχνικές Living Off the Land.

Η κινεζική ομάδα απειλών, η οποία επίσης παρακολουθείται ως Bronze Silhouette, στοχεύει και παραβιάζει τις κρίσιμες υποδομές των ΗΠΑ τουλάχιστον από τα μέσα του 2021, σύμφωνα με έκθεση του Μαΐου 2023 που δημοσιεύτηκε από τη Microsoft.

Κατά τη διάρκεια των επιθέσεων τους, έχουν επίσης χρησιμοποιήσει ένα botnet εκατοντάδων μικρών γραφείων γραφείου/οικίας (SOHO) σε όλες τις Ηνωμένες Πολιτείες (με το όνομα KV-botnet) για να κρύψουν την κακόβουλη δραστηριότητά τους και να αποφύγουν τον εντοπισμό.

Το FBI διέκοψε το KV-botnet τον Δεκέμβριο του 2023 και οι χάκερ απέτυχαν να ξαναφτιάξουν την αποσυναρμολογημένη υποδομή αφού τα εργαστήρια Black Lotus της Lumen κατέστρεψαν όλους τους εναπομείναντες διακομιστές C2 και ωφέλιμου φορτίου.

Την ημέρα που αποκαλύφθηκε το χτύπημα στο KV-botnet, η CISA και το FBI προέτρεψαν επίσης τους κατασκευαστές δρομολογητών SOHO να διασφαλίσουν ότι οι

συσκευές

τους προστατεύονται από επιθέσεις Volt Typhoon εξαλείφοντας ελαττώματα δι

επα

φής διαχείρισης ιστού κατά την ανάπτυξη και χρησιμοποιώντας προεπιλογές ασφαλούς διαμόρφωσης.