Microsoft afirma que un grupo chino de ciberespionaje al que rastrea como Volt Typhoon lleva atacando organizaciones de infraestructuras críticas en todo Estados Unidos, incluido Guam, desde al menos mediados de 2021.
Sus víctimas abarcan una amplia gama de sectores críticos, incluidos el gobierno, el sector marítimo, las comunicaciones, la fabricación, la tecnología de la información, los servicios públicos, el transporte, la construcción y la educación.
El vector de ataque inicial es el compromiso de los dispositivos Fortinet FortiGuard expuestos a Internet mediante la explotación de una vulnerabilidad desconocida de día cero.
Después de penetrar en las redes de los objetivos, lanzan lo que Microsoft describe como ataques «living-off-the-land» con actividad práctica de teclado y binarios living-off-the-land (LOLBins) como PowerShell, Certutil, Netsh y la línea de comandos de Windows Management Instrumentation (WMIC).
Sin embargo, también se les vio utilizar herramientas de código abierto como Fast Reverse Proxy (frp), la herramienta de robo de credenciales Mimikatz y el marco de red Impacket, según un aviso conjunto publicado hoy por el FBI, la NSA, el CISA y las agencias de ciberseguridad de Australia, Nueva Zelanda, Reino Unido y Canadá.
Para asegurarse de que su actividad maliciosa se mezcla con el tráfico legítimo de la red para evitar su detección, Volt Typhoon emplea equipos de red comprometidos para pequeñas oficinas y oficinas domésticas (SOHO) de ASUS, Cisco, D-Link, Netgear, FatPipe y Zyxel, como routers, cortafuegos y dispositivos VPN.
Aprovechando el acceso privilegiado obtenido tras comprometer los dispositivos Fortinet, los hackers estatales pueden volcar credenciales a través del Local Security Authority Subsystem Service (LSASS).
Las credenciales robadas les permiten desplegar web shells basadas en Awen para la exfiltración y persistencia de datos en los sistemas hackeados.