Feds bekræfter fjerndræbning af Volt Typhoons SOHO-botnet

Feds bekræfter fjerndræbning af Volt Typhoons SOHO-botnet

Tidsstempel: 1. februar 2024 kl. 4:40
Feds bekræfter fjerndrab af Volt Typhoons SOHO Botnet PlatoBlockchain Data Intelligence. Lodret søgning. Ai.

Amerikanske retshåndhævere har forstyrret infrastrukturen for den berygtede Kina-sponsorerede cyberangrebsgruppe kendt som Volt Typhoon.

Den avancerede vedvarende trussel (APT), som FBI-direktør sagde Christopher Wray i denne uge er "den definerende cybertrussel i denne æra," er kendt for at styre et vidtstrakt botnet skabt ved at gå på kompromis dårligt beskyttede routere til små kontor/hjemmekontor (SOHO).. Den statsstøttede gruppe bruger det som affyringsrampe for andre angreb, især på amerikansk kritisk infrastruktur, fordi botnettets distribuerede karakter gør aktiviteten svær at spore.

Efter Volt Typhoon takedown blev rapporteret af Reuters tidligere på ugen, amerikanske embedsmænd bekræftede håndhævelsen sent i går. FBI efterlignede angriberens kommando-og-kontrol-netværk (C2) for at sende en ekstern kill-switch til routere, der er inficeret med "KV Botnet"-malwaren brugt af gruppen, annoncerede det.

"Den domstolsautoriserede operation slettede KV Botnet-malwaren fra routerne og tog yderligere skridt for at afbryde deres forbindelse til botnettet, såsom blokering af kommunikation med andre enheder, der blev brugt til at kontrollere botnettet," ifølge FBI's erklæring.

Den tilføjede, at "langt de fleste routere, der omfattede KV Botnet, var Cisco- og Netgear-routere, der var sårbare, fordi de havde nået status som 'end of life'; det vil sige, at de ikke længere blev understøttet gennem deres producents sikkerhedsrettelser eller andre softwareopdateringer."

Mens det lydløst at nå ind i kantudstyret, der ejes af hundredvis af små virksomheder, kan virke alarmerende, understregede Feds, at det ikke havde adgang til nogen information og ikke påvirkede nogen legitime funktioner i routerne. Og router-ejere kan fjerne begrænsningerne ved at genstarte enhederne - selvom dette ville gøre dem modtagelige for geninfektion.

Volt Typhoons industrielle rampage vil fortsætte

Volt Typhoon (alias Bronze Silhouette og Vanguard Panda) er en del af en bredere kinesisk indsats for at infiltrere forsyningsselskaber, energiselskaber, militærbaser, teleselskaber, og industrielle websteder for at plante fodfæste malware, som forberedelse til forstyrrende og destruktive angreb langs linjen. Målet er at være i stand til at skade USA's evne til at reagere i tilfælde af, at en kinetisk krig starter over Taiwan eller handelsproblemer i Det Sydkinesiske Hav, advarede Wray og andre embedsmænd i denne uge.

Det er en vækst afgang fra Kinas sædvanlige hack-and-spion operationer. "Cyberkrigsførelse med fokus på kritiske tjenester såsom forsyningsselskaber og vand indikerer et andet slutspil [end cyberspionage]," siger Austin Berglas, global chef for professionelle tjenester hos BlueVoyant og en tidligere FBI-cyberdivisions specialagent. "Ikke længere er fokus på fordele, men på skader og højborge."

I betragtning af at routeren genstarter åbner enhederne for geninfektion, og det faktum, at Volt Typhoon bestemt har andre måder at lancere snigende angreb mod sin kritiske infrastruktur stenbrud, er den juridiske handling nødt til at være en kun midlertidig afbrydelse for APT - et faktum, at selv FBI erkendte i sin udtalelse.

"Den amerikanske regerings handlinger har sandsynligvis væsentligt forstyrret Volt Typhoons infrastruktur, men angriberne selv forbliver frie," sagde Toby Lewis, global leder af trusselsanalyse hos Darktrace, via e-mail. "Målretning af infrastruktur og demontering af angriberkapaciteter fører normalt til en periode med stilhed fra aktørerne, hvor de genopbygger og genopbygger, hvilket vi sandsynligvis kommer til at se nu."

Alligevel er den gode nyhed, at USA er "på" Kinas strategi og taktik nu, siger Sandra Joyce, vicepræsident for Mandiant Intelligence - Google Cloud, som samarbejdede med Feds om afbrydelsen. Hun siger, at udover at bruge et distribueret botnet til konstant at flytte kilden til deres aktivitet for at forblive under radaren, reducerer Volt Typhoon også de signaturer, som forsvarere bruger til at jage dem på tværs af netværk, og de undgår brugen af ​​eventuelle binære filer, der kan stå ud som indikatorer for kompromis (IOC'er).  

Alligevel er "aktivitet som denne ekstremt udfordrende at spore, men ikke umulig," siger Joyce. “Volt Typhoons formål var at grave stille og roligt ind for et beredskab uden at gøre opmærksom på sig selv. Heldigvis er Volt Typhoon ikke gået ubemærket hen, og selvom jagten er udfordrende, tilpasser vi os allerede for at forbedre indsamlingen af ​​intelligens og forpurre denne skuespiller. Vi ser dem komme, vi ved, hvordan vi identificerer dem, og vigtigst af alt ved vi, hvordan vi kan hærde de netværk, de er rettet mod."

Tidsstempel:

Mere fra Mørk læsning