Volt Typhoon использует временную инфраструктуру для скрытного доступа к сетям США

Volt Typhoon построила временную инфраструктуру для скрытного доступа к сетям США

Китайская хакерская группа Volt Typhoon использовала временную вредоносную инфраструктуру для проникновения в сотни чувствительных систем. Исследователи Lumen Technologies Black Lotus Labs назвали эту операцию "Silent Train". Группа создавала и ликвидировала инфраструктуру ежедневно, чтобы оставаться незамеченной. Инфраструктура состояла из скомпрометированных SOHO-маршрутизаторов, IoT-устройств и корпоративных систем. Volt Typhoon использовала эту цепочку для эксплуатации уязвимостей, включая уязвимости нулевого дня, в сетевых граничных устройствах. Это позволяло получать более глубокий и устойчивый доступ к сетям жертв. Отдельные цепочки собирались и разбирались каждый день, инфраструктура постоянно обновлялась. Volt Typhoon демонстрировала способность восстанавливать новую цепочку с другой инфраструктурой менее чем за две минуты. Количество узлов в любой момент времени приближалось к нулю.

Атака использует цепочки скомпрометированных устройств

"Silent Train" представляет собой серию быстро ротируемых скомпрометированных устройств. Цепочки создавались и демонтировались ежедневно. Volt Typhoon демонстрировала возможность восстанавливать новую цепочку менее чем за две минуты. Сессии в среднем длились около четырех часов. Группа проводила тщательную очистку, сегментировала операции и разрабатывала новые векторы доступа. Это свидетельствует о значительных усилиях, направленных на затруднение обнаружения и отслеживания операций. Volt Typhoon активнее использовала "Silent Train" после того, как ФБР и Министерство юстиции США в начале 2024 года пресекли деятельность ботнета KV. Ранее в этом году власти предупреждали о широком сдвиге в использовании китайскими хакерскими группами скрытых сетей на базе скомпрометированных обычных устройств. Группа скомпрометировала более 27 классов устройств, включая граничные устройства, инструменты корпоративного управления, системы управления доступом и идентификацией, сетевую инфраструктуру. Конкретные типы устройств последовательно резервировались для определенных позиций в цепочке. Это больше напоминало организованный инвентарь возможностей, чем случайный набор скомпрометированных устройств. Группа скомпрометировала устройства от Fortinet, Cisco, ManageEngine, Ivanti, F5, Check Point, Palo Alto Networks, ServiceNow, TP-Link, Netgear и ArcGIS. Black Lotus Labs также подтвердила кампании с использованием уязвимостей нулевого дня против Versa Director, N-Able N-Central, Cisco Catalyst SD-WAN и VeloCloud Orchestrator.

Целевыми стали критически важные инфраструктуры США

Black Lotus Labs уведомила сотни жертв, включая телекоммуникационных провайдеров, государственные учреждения, оборонных подрядчиков, поставщиков коммуникационных услуг, университеты и IT-компании. Среди других жертв в секторах критической инфраструктуры были организации в сферах водоснабжения, энергетики, транспорта, морских перевозок, железнодорожного транспорта, авиации и экстренных служб. Исследователи отмечают, что наблюдаемые шаблоны эксплуатации, виктимология и географическое таргетирование указывают на устойчивый фокус на коммуникационных, оборонных, правительственных и критически важных инфраструктурных средах, имеющих стратегическое значение. "Silent Train" демонстрирует, как Volt Typhoon систематически преследует и сохраняет доступ к наиболее значимым сетям в США, неоднократно нацеливаясь на централизованные платформы управления и технологии управляющей плоскости. Эфемерность и операционная дисциплина "Silent Train" делают ее трудноизмеримой и фундаментально сложной для нарушения, поскольку нет единой сети для вывода из строя. Инфраструктура, существующая сегодня, завтра будет совершенно иной. Попытки удалить отдельные компоненты не решают проблему способности злоумышленника постоянно их восстанавливать.

Уведомления жертв и постоянное обновление систем

Black Lotus Labs уведомила сотни жертв о выявленной активности "Silent Train". Исследователи подчеркивают, что эфемерный характер фреймворка означает, что наблюдения не следует интерпретировать как полный перечень активности Volt Typhoon. Инвестиции группы в операционную безопасность и сохранение доступа заслуживают внимания. "Silent Train" характеризуется быстрой сборкой инфраструктуры, короткими сессиями, тщательной очисткой и разработкой новых векторов доступа. Эти меры направлены исключительно на затруднение обнаружения и отслеживания операций. Учитывая постоянное обновление и восстановление инфраструктуры, пользователям критически важных систем необходимо регулярно обновлять свои сетевые устройства и программное обеспечение. Особое внимание следует уделить патчам безопасности для граничных устройств, систем управления доступом и идентификацией, а также централизованных платформ управления. Необходимо следить за информацией от производителей оборудования и программного обеспечения о выявленных уязвимостях и доступных обновлениях.