Volt Typhoon 採用離地攻擊技術以美國關鍵基礎結構為目標

這次攻擊是由Volt Typhoon進行的，Volt Typhoon 是一個位於中國的受政府資助執行者，通常專注於間諜活動和資訊收集。Microsoft 做出了較有保握的評估，認為 Volt Typhoon 的活動是在尋求開發能力，即可能會在未來危機期間破壞美國和亞洲地區之間的關鍵通信基礎設施的能力。

自 2021 年年中以來，Volt Typhoon 一直很活躍，其目標為關島和美國其他地方的關鍵基礎設施組織。在這項活動中，受影響的組織涵蓋通信、製造、公用事業、運輸、建築、海事、政府、資訊技術和教育部門。觀察到的行為顯示， 威脅行為者 的目的是進行間諜活動，並盡可能長時間維持不被偵測的存取權限。

為了實現其目標，威脅行為者在這次活動中高度重視隱身，幾乎完全依靠離岸技術和鍵盤動手活動。他們通過命令行發出命令，以 （1） 收集數據，包括來自本地和網路系統的憑據，（2） 將數據放入存檔文件以暫存以進行外泄，然後 （3） 使用被盜的有效憑據來維護持久性。此外，Volt Typhoon 還試圖通過受感染的小型辦公室和家庭辦公室 （SOHO） 網路設備（包括路由器、防火牆和 VPN 硬體）路由流量，從而融入正常的網路活動。他們還被觀察到使用開源工具的自定義版本，通過代理建立命令和控制 （C2） 通道，以進一步不被發現。

在這篇 部落格文章中，我們分享 Volt Typhoon 的相關資訊、其鎖定關鍵基礎設施提供者的活動，以及他們用來取得並維持對目標網路未經授權存取的手法。由於該活動依賴於有效帳戶和離岸二進位檔 （LOLBins），因此檢測和緩解此攻擊可能頗具挑戰性。必須關閉或更改被盜用的帳戶。在這篇 部落格文章的最後，我們還會分享更多緩解步驟與最佳做法，並說明 Microsoft 365 Defender 如何偵測惡意與可疑活動，協助組織防範這類隱蔽攻擊。美國國家安全局（NSA）也已發布一份 Cybersecurity Advisory [PDF] ，其中包含這篇部落格所討論之戰術、技術與程序（TTP）的狩獵指南。歡迎閱讀 完整部落格文章 ，了解更多資訊。

與任何觀察到的民族國家行為者活動一樣，Microsoft 已直接通知目標或受感染的客戶，為他們提供保護其環境所需的重要資訊。若要了解 Microsoft 對威脅行為者追蹤的做法，請閱讀Microsoft 轉向新的威脅參與者命名分類