Volt 台风加剧了针对关键基础设施的恶意活动

中国支持的网络间谍组织 Volt Typhoon 正在系统性地针对旧思科设备进行复杂而隐秘的攻击活动，以扩大其攻击基础设施。

在许多情况下，以关键基础设施为目标的威胁行为者正在利用 2019 年路由器中的几个漏洞来闯入目标设备并控制它们。

针对美国关键基础设施部门

SecurityScorecard 威胁情报团队的研究人员在对最近的供应商进行一些后续调查时发现了该活动 媒体报道 关于伏特台风闯入美国关键基础设施组织并为未来潜在的破坏奠定基础。这些攻击针对的是自来水公司、电力供应商、交通和通信系统。该组织的受害者包括美国、英国和澳大利亚的组织。

供应商报告之一来自 流明，描述了一个僵尸网络，包括 小型办公室/家庭办公室 (SOHO) 路由器 Volt Typhoon 和其他中国威胁组织正在利用该网络作为指挥控制 (C2) 网络来攻击高价值网络。 Lumen 在报告中描述的网络主要由 Cisco、DrayTek 以及较小范围内的 Netgear 的报废路由器组成。

SecurityScorecard 研究人员使用 Lumen 随其报告发布的妥协指标 (IoC) 来查看他们是否能够识别与 Volt Typhoon 活动相关的新基础设施。这 调查 SecurityScorecard 的威胁研究员 Rob Ames 表示，这表明该威胁组织的活动可能比之前想象的更为广泛。

例如，SecurityScorecard 在 30 天内在 C325 僵尸网络上观察到，Volt Typhoon 似乎对 1,116%（即 320 个报废 Cisco RV325/2 路由器中的 37 个）造成了损害。该安全供应商的研究人员观察到，1 年 2023 月 7 日至 2024 年 XNUMX 月 XNUMX 日期间，受感染的思科设备与已知的 Volt Typhoon 基础设施之间存在定期连接，表明操作非常活跃。

SecurityScorecard 的挖掘还显示，Volt Typhoon 在该组织目前瞄准的思科路由器和其他网络边缘设备上部署了“fy.sh”，这是一种迄今为止未知的 Web shell。此外，SecurityScorecard 还能够识别出多个与 Volt Typhoon 活动相关的新 IP 地址。

“SecurityScorecard 使用之前流传的与 Volt Typhoon 相关的 IoC 来识别我们观察到的新受感染的设备、之前未指定的 Webshel​​l (fy.sh) 以及可能代表新 IoC 的其他 IP 地址，”Ames 说。

靠地为生的网络攻击

伏台风 是一个威胁组织 美国网络安全和基础设施局 (CISA) 已被确定为针对美国关键基础设施部门的国家支持的中国威胁行为者。 微软早在 2023 年 2021 月就首次报道该组织，称该组织至少自 XNUMX 年 XNUMX 月起就开始活跃，总部设在中国，并使用一系列靠地为生的技术进行大规模网络间谍活动。该公司评估该组织正在开发在未来潜在冲突期间破坏美国和亚洲之间关键通信能力的能力。

艾姆斯表示，Volt Typhoon 使用受感染的路由器进行数据传输是该组织致力于秘密行动的一个迹象。

他说：“该组织经常通过这些设备路由流量，以避免在针对与受感染路由器位于同一区域的组织时进行基于地理位置的检测。” “如果所涉及的流量似乎源自该组织所在的区域，这些组织可能不太可能注意到恶意活动。”

针对易受攻击的报废设备进行网络攻击

艾姆斯表示，从攻击者的角度来看，Volt Typhoon 针对报废设备的攻击也很有意义。大约有 35 个已知的严重漏洞，其严重程度在 CVSS 等级上的评级至少为 9 分（满分 10 分），其中包括 CISA 已知利用漏洞目录中的两个漏洞，这些漏洞与 Volt Typhoon 所针对的 Cisco RV320 路由器相关。三年前，即 2021 年 XNUMX 月，思科停止发布该技术的任何错误修复、维护版本和修复。除了思科设备外，与 Volt Typhoon 相关的僵尸网络还包括受感染的传统 DrayTek Vigor 和 Netgear ProSafe 路由器。

“从设备本身的角度来看，它们是唾手可得的成果，”艾姆斯说。 “由于‘寿命终止’意味着设备生产商将不再为其发布更新，因此影响设备的漏洞可能得不到解决，从而使设备容易受到损害。”

Critical Start 网络威胁研究高级经理 Callie Guenther 表示，Volt Typhoon 的战略目标是报废的思科路由器、fy.sh 等定制工具的开发以及地理和部门目标，这表明其操作非常复杂。

“关注遗留系统并不是威胁行为者的常见策略，主要是因为它需要有关旧系统及其漏洞的特定知识，而这些知识可能并未被广泛了解或记录下来，”Guenther 说。 “然而，这是一个日益增长的趋势，特别是在国家支持的参与者中，他们有资源和动力进行广泛的侦察并开发量身定制的漏洞。”

作为例子，她指出多个威胁行为者针对所谓的 Ripple20漏洞 TCP/IP 堆栈影响了数百万台遗留物联网设备，以及针对旧 VPN 产品缺陷的中国和伊朗威胁组织。

• SEO 支持的内容和 PR 分发。 今天得到放大。
• PlatoData.Network 垂直生成人工智能。 赋予自己力量。 访问这里。
• 柏拉图爱流。 Web3 智能。 知识放大。 访问这里。
• 柏拉图ESG。 碳， 清洁科技, 能源， 环境， 太阳能， 废物管理。 访问这里。
• 柏拉图健康。 生物技术和临床试验情报。 访问这里。
• Sumber: https://www.darkreading.com/cyber-risk/volt-typhoon-ramps-up-malicious-activity-critical-infrastructure