Volt Typhoon nhắm mục tiêu vào hạ tầng trọng yếu của Hoa Kỳ bằng kỹ thuật tận dụng tài nguyên sẵn có

Cuộc tấn công được thực hiện bởi Volt Typhoon, một tổ chức được nhà nước bảo trợ có trụ sở tại Trung Quốc, thường tập trung vào hoạt động gián điệp và thu thập thông tin. Microsoft đánh giá với độ tin cậy trung bình rằng chiến dịch Volt Typhoon này đang theo đuổi việc phát triển các khả năng có thể làm gián đoạn cơ sở hạ tầng truyền thông quan trọng giữa Hoa Kỳ và khu vực Châu Á trong các cuộc khủng hoảng trong tương lai.

Volt Typhoon đã hoạt động từ giữa năm 2021 và nhắm mục tiêu vào các tổ chức cơ sở hạ tầng quan trọng ở Guam và các nơi khác ở Hoa Kỳ. Trong chiến dịch này, các tổ chức bị ảnh hưởng thuộc nhiều lĩnh vực như truyền thông, sản xuất, tiện ích công cộng, vận tải, xây dựng, hàng hải, chính phủ, công nghệ thông tin và giáo dục. Hành vi quan sát được cho thấy tác nhân đe dọa có mục đích thực hiện hoạt động gián điệp và duy trì quyền truy cập mà không bị phát hiện trong thời gian dài nhất có thể.

Để đạt được mục tiêu, kẻ đe dọa đặc biệt chú trọng đến khả năng tàng hình trong chiến dịch này, hầu như chỉ dựa vào các kỹ thuật xâm nhập tàng hình và hành động trên bàn phím. Họ đưa ra các lệnh thông qua dòng lệnh để (1) thu thập dữ liệu, bao gồm thông tin xác thực từ hệ thống mạng cục bộ, (2) đưa dữ liệu vào tệp lưu trữ để sàng lọc và sau đó (3) sử dụng thông tin xác thực hợp lệ bị đánh cắp để duy trì quyền truy cập. Ngoài ra, Volt Typhoon cố gắng xen vào hoạt động mạng thông thường bằng cách định tuyến lưu lượng truy cập thông qua thiết bị mạng đã bị xâm nhập của văn phòng nhỏ và văn phòng gia đình (SOHO), bao gồm bộ định tuyến, tường lửa và phần cứng VPN. Nhóm này cũng được ghi nhận sử dụng phiên bản tùy chỉnh của những công cụ mã nguồn mở để thiết lập kênh điều khiển và kiểm soát (C2) thông qua máy chủ proxy nhằm tiếp tục che giấu hoạt động.

Trong bài đăng blog này, chúng tôi chia sẻ thông tin về Volt Typhoon, chiến dịch nhắm vào nhà cung cấp hạ tầng trọng yếu và các chiến thuật được sử dụng để giành lấy cũng như duy trì quyền truy cập trái phép vào mạng mục tiêu. Do hoạt động này dựa trên các tài khoản hợp lệ và tận dụng kỹ thuật tệp nhị phân có sẵn (LOLBins), việc phát hiện và giảm thiểu mức độ tấn công có thể gặp nhiều khó khăn. Các tài khoản bị xâm phạm cần được vô hiệu hóa hoặc thay đổi. Cuối bài đăng blog này, chúng tôi chia sẻ thêm các biện pháp giảm thiểu rủi ro, thực hành tốt nhất, đồng thời giới thiệu cách Microsoft 365 Defender phát hiện các hoạt động độc hại và đáng ngờ để bảo vệ tổ chức trước những cuộc tấn công có mức độ ẩn mình cao. Cơ quan An ninh Quốc gia (NSA) cũng đã công bố một Khuyến nghị An ninh mạng [PDF], trong đó bao gồm hướng dẫn săn tìm đối với các chiến thuật, kỹ thuật và quy trình (TTP) được đề cập trong bài blog này. Xem toàn bộ bài blog để biết thêm thông tin.

Giống như mọi hoạt động của tác nhân đe dọa được nhà nước hậu thuẫn mà Microsoft quan sát được, chúng tôi đã trực tiếp thông báo tới khách hàng bị nhắm mục tiêu hoặc đã bị xâm nhập, đồng thời cung cấp thông tin quan trọng cần thiết để giúp họ bảo vệ môi trường của mình. Để tìm hiểu về phương pháp theo dõi tác nhân đe dọa của Microsoft, hãy đọc Microsoft chuyển sang nguyên tắc phân loại đặt tên mới cho tác nhân đe dọa