Feds ยืนยันการสังหารบอทเน็ต SOHO ของ Volt Typhoon จากระยะไกล

Feds ยืนยันการสังหารบอทเน็ต SOHO ของ Volt Typhoon จากระยะไกล

ประทับเวลา: 1 กุมภาพันธ์ 2024 4:40 น
Feds ยืนยันการสังหาร SOHO Botnet PlatoBlockchain Data Intelligence ของ Volt Typhoon จากระยะไกล ค้นหาแนวตั้ง AI.

หน่วยงานบังคับใช้กฎหมายของสหรัฐฯ ได้ขัดขวางโครงสร้างพื้นฐานของกลุ่มโจมตีทางไซเบอร์ที่จีนสนับสนุนซึ่งเป็นที่รู้จักในนาม Volt Typhoon

ภัยคุกคามขั้นสูงแบบถาวร (APT) ซึ่งผู้อำนวยการเอฟบีไอ Christopher Wray กล่าวในสัปดาห์นี้ คือ “ภัยคุกคามทางไซเบอร์ที่เป็นตัวกำหนดยุคนี้” เป็นที่รู้จักในด้านการจัดการบอตเน็ตที่แผ่ขยายออกไปซึ่งเกิดจากการประนีประนอม เราเตอร์สำนักงานขนาดเล็ก/โฮมออฟฟิศ (SOHO) ที่มีการป้องกันไม่ดี. กลุ่มที่ได้รับการสนับสนุนจากรัฐใช้เป็น Launchpad สำหรับการโจมตีอื่นๆ โดยเฉพาะอย่างยิ่งในโครงสร้างพื้นฐานที่สำคัญของสหรัฐฯ เนื่องจากลักษณะการกระจายของบอตเน็ตทำให้กิจกรรมนี้ยากต่อการติดตาม

หลังจาก มีรายงานการลบออกของ Volt Typhoon โดยสำนักข่าวรอยเตอร์เมื่อต้นสัปดาห์นี้เจ้าหน้าที่สหรัฐฯ ยืนยันการดำเนินการบังคับใช้ สายเมื่อวานนี้ FBI เลียนแบบเครือข่ายสั่งการและควบคุม (C2) ของผู้โจมตีเพื่อส่ง Kill Switch ระยะไกลไปยังเราเตอร์ที่ติดมัลแวร์ “KV Botnet” ที่กลุ่มนี้ใช้

“การดำเนินการที่ได้รับอนุญาตจากศาลได้ลบมัลแวร์ KV Botnet ออกจากเราเตอร์และดำเนินขั้นตอนเพิ่มเติมเพื่อตัดการเชื่อมต่อกับบ็อตเน็ต เช่น การบล็อกการสื่อสารกับอุปกรณ์อื่น ๆ ที่ใช้ในการควบคุมบ็อตเน็ต” ตามคำแถลงของ FBI

กล่าวเพิ่มเติมว่า “เราเตอร์ส่วนใหญ่ที่ประกอบด้วย KV Botnet คือเราเตอร์ของ Cisco และ Netgear ที่มีความเสี่ยงเนื่องจากมีสถานะ 'สิ้นสุดอายุการใช้งาน' แล้ว นั่นคือพวกเขาไม่ได้รับการสนับสนุนอีกต่อไปผ่านแพตช์ความปลอดภัยของผู้ผลิตหรือการอัปเดตซอฟต์แวร์อื่นๆ”

แม้ว่าการเข้าถึง Edge Gear ของธุรกิจขนาดเล็กหลายร้อยรายอย่างเงียบ ๆ อาจดูน่าตกใจ แต่ Feds เน้นย้ำว่าไม่ได้เข้าถึงข้อมูลใด ๆ และไม่ส่งผลกระทบต่อการทำงานที่ถูกต้องตามกฎหมายของเราเตอร์ และเจ้าของเราเตอร์สามารถล้างการบรรเทาปัญหาได้ด้วยการรีสตาร์ทอุปกรณ์ แม้ว่าการทำเช่นนี้จะทำให้อุปกรณ์เสี่ยงต่อการติดไวรัสอีกครั้งก็ตาม

อาละวาดทางอุตสาหกรรมของโวลต์ไต้ฝุ่นจะดำเนินต่อไป

Volt Typhoon (aka Bronze Silhouette และ Vanguard Panda) เป็นส่วนหนึ่งของความพยายามของจีนในการแทรกซึมเข้าไปในระบบสาธารณูปโภค บริษัทในภาคพลังงาน ฐานทัพทหาร บริษัทโทรคมนาคมและไซต์งานอุตสาหกรรมเพื่อฝังมัลแวร์ เพื่อเตรียมพร้อมสำหรับการโจมตีที่ก่อกวนและทำลายล้าง เป้าหมายคือการอยู่ในฐานะที่จะสร้างความเสียหายต่อความสามารถของสหรัฐฯ ในการตอบสนองในกรณีที่เกิดสงครามจลน์เหนือไต้หวันหรือปัญหาการค้าในทะเลจีนใต้ นายเรย์ และเจ้าหน้าที่อื่นๆ เตือนในสัปดาห์นี้

มันกำลังเติบโต ออกจากปฏิบัติการแฮ็กและสปายตามปกติของจีน. “สงครามไซเบอร์ที่มุ่งเน้นไปที่บริการที่สำคัญ เช่น สาธารณูปโภคและน้ำ บ่งบอกถึงจุดจบที่แตกต่าง [จากการจารกรรมทางไซเบอร์]” Austin Berglas หัวหน้าฝ่ายบริการระดับมืออาชีพระดับโลกของ BlueVoyant และอดีตสายลับพิเศษของแผนกไซเบอร์ของ FBI กล่าว “ไม่ได้มุ่งเน้นไปที่ความได้เปรียบอีกต่อไป แต่มุ่งเน้นไปที่ความเสียหายและฐานที่มั่น”

เนื่องจากเราเตอร์รีสตาร์ทจะเปิดอุปกรณ์เพื่อติดไวรัสอีกครั้ง และความจริงที่ว่า Volt Typhoon มีวิธีอื่นในการโจมตีอย่างลับๆ ต่อเหมืองโครงสร้างพื้นฐานที่สำคัญของมัน การดำเนินการทางกฎหมายถือเป็นการหยุดชะงักชั่วคราวสำหรับ APT เท่านั้น ความจริงที่ว่าแม้แต่ FBI รับทราบในแถลงการณ์

“การกระทำของรัฐบาลสหรัฐฯ อาจส่งผลกระทบต่อโครงสร้างพื้นฐานของโวลต์ ไต้ฝุ่น อย่างมาก แต่ผู้โจมตียังคงเป็นอิสระ” โทบี ลูอิส หัวหน้าฝ่ายวิเคราะห์ภัยคุกคามระดับโลกของ Darktrace กล่าวผ่านทางอีเมล “การกำหนดเป้าหมายโครงสร้างพื้นฐานและการแยกส่วนความสามารถของผู้โจมตีมักจะนำไปสู่ช่วงเวลาแห่งความเงียบงันจากนักแสดงที่พวกเขาสร้างและปรับแต่งใหม่ ซึ่งเราอาจจะได้เห็นในตอนนี้”

ถึงกระนั้น ข่าวดีก็คือว่า ขณะนี้สหรัฐฯ "เข้าสู่" กลยุทธ์และยุทธวิธีของจีนแล้ว Sandra Joyce รองประธานฝ่าย Mandiant Intelligence — Google Cloud ซึ่งทำงานร่วมกับ Feds เรื่องการหยุดชะงักกล่าว เธอกล่าวว่านอกเหนือจากการใช้บ็อตเน็ตแบบกระจายเพื่อเปลี่ยนแหล่งที่มาของกิจกรรมอย่างต่อเนื่องเพื่อให้อยู่ภายใต้เรดาร์แล้ว Volt Typhoon ยังลดลายเซ็นที่ผู้พิทักษ์ใช้เพื่อตามล่าพวกเขาในเครือข่าย และพวกเขาหลีกเลี่ยงการใช้ไบนารีใด ๆ ที่อาจยังคงอยู่ ออกมาเป็นตัวบ่งชี้การประนีประนอม (IoCs)  

ถึงกระนั้น “กิจกรรมเช่นนี้เป็นสิ่งที่ท้าทายอย่างยิ่งในการติดตาม แต่ก็ไม่ใช่ว่าจะเป็นไปไม่ได้” จอยซ์กล่าว “จุดประสงค์ของโวลต์ไต้ฝุ่นคือการขุดเข้าไปอย่างเงียบๆ เพื่อเหตุฉุกเฉินโดยไม่ดึงความสนใจไปที่ตัวมันเอง โชคดีที่โวลต์ไต้ฝุ่นไม่ได้ถูกมองข้าม และแม้ว่าการล่าจะเป็นเรื่องที่ท้าทาย แต่เรากำลังปรับตัวเพื่อปรับปรุงการรวบรวมข่าวกรองและขัดขวางนักแสดงรายนี้ เราเห็นพวกเขามา เรารู้วิธีระบุตัวตนพวกเขา และที่สำคัญที่สุด เรารู้วิธีทำให้เครือข่ายที่พวกเขากำหนดเป้าหมายแข็งแกร่งขึ้น”

ประทับเวลา:

เพิ่มเติมจาก การอ่านที่มืด