Microsoft Beveiliging
Microsoft heeft heimelijke en op kritieke infrastructuurorganisaties in de Verenigde Staten gerichte schadelijke activiteiten ontdekt die zijn ontwikkeld om na inbreuk toegang tot referenties te krijgen en netwerksystemen te ontdekken.
De aanval wordt uitgevoerd door Volt Typhoon, een door de overheid gesponsorde Chinese actor die zich doorgaans bezighoudt met spionage en het verzamelen van informatie. Microsoft schat met gemiddelde zekerheid in dat deze Volt Typhoon-campagne ten doel heeft mogelijkheden te ontwikkelen om de kritieke communicatie-infrastructuur tussen de Verenigde Staten en Azië tijdens toekomstige crises te kunnen verstoren.
Volt Typhoon is actief sinds medio 2021 en is gebruikt om kritieke infrastructuurorganisaties in Guam en elders in de Verenigde Staten aan te vallen. In deze campagne zijn organisaties in de communicatie-, productie-, nuts-, transport-, bouw-, maritieme, overheids-, informatietechnologie- en onderwijssectoren getroffen. Waargenomen gedrag suggereert dat de bedreigingsactor van plan is om te spioneren en zo lang mogelijk onopgemerkt toegang te behouden.
Om het doel te bereiken, is in deze campagne heimelijkheid cruciaal voor de bedreigingsactor en wordt vrijwel uitsluitend gebruikgemaakt van LOTL-technieken en via het toetsenbord uitgevoerde activiteiten. Via de opdrachtregel worden opdrachten opgegeven om (1) gegevens te verzamelen, inclusief referenties van lokale en netwerksystemen, (2) de gegevens in een archiefbestand te plaatsen om ze voor te bereiden voor exfiltratie en (3) de gestolen geldige referenties te gebruiken om persistentie te waarborgen. Daarnaast probeert Volt Typhoon op te gaan in de normale netwerkactiviteiten door verkeer te routeren via gecompromitteerde netwerkapparatuur voor kleine en thuiskantoren, waaronder routers, firewalls en VPN-hardware. Bovendien is vastgesteld dat Volt Typhoon aangepaste versies van opensource-hulpprogramma's gebruikt om via proxy een C2-kanaal (Command and Control) op te zetten en onder de radar te blijven.
In deze blogpost delen we informatie over Volt Typhoon, hun campagne gericht op aanbieders van kritieke infrastructuur en hun tactieken om ongeautoriseerde toegang tot doelnetwerken te verkrijgen en te behouden. Omdat bij deze activiteiten wordt gebruikgemaakt van geldige accounts en LOLBins (binaire LOTL-bestanden), kan het lastig zijn om een dergelijke aanval te detecteren en de gevolgen ervan te beperken. Gecompromitteerde accounts moeten worden gesloten of gewijzigd. Aan het einde van deze blogpost delen we meer mitigatiestappen en best practices, en geven we details over hoe Microsoft 365 Defender schadelijke en verdachte activiteiten detecteert om organisaties te beschermen tegen dit soort heimelijke aanvallen. De National Security Agency (NSA) heeft ook een Cybersecurity Advisory [PDF] gepubliceerd met een opsporingsgids voor de tactieken, technieken en procedures (TTP's) die in deze blog worden besproken. Lees de volledige blog-post voor meer informatie.
Zoals bij alle waargenomen activiteiten van nation-state actoren heeft Microsoft klanten die het doelwit zijn of zijn getroffen direct op de hoogte gebracht en hen van de informatie voorzien die ze nodig hebben om hun omgevingen te beveiligen. Lees meer over Microsofts aanpak voor het volgen van dreigingsactoren: Microsoft shifts to a new threat actor naming taxonomy
