Salt Typhoon
Salt Typhoonauch bekannt unter den Pseudonymen Earth Estries, FamousSparrow, GhostEmperor und UNC2286, ist eine APT-Gruppe (Advanced Persistent Threat), die sich auf Cyberspionage-Aktivitäten spezialisiert hat.
Der Ursprung der Salt Typhoon
Seit mindestens 2020 hat diese Gruppe weltweit hochentwickelte Cyberspionage-Kampagnen durchgeführt. Bekannt für ihr fortschrittliches malware Arsenal und die Ausnutzung von Zero-Day-Schwachstellen, hat Salt Typhoon seine Reichweite im Jahr 2023 auf neue Branchen, größere Regionen und aggressivere Taktiken ausgeweitet. Das Arsenal und die Operationen dieser APT-Gruppe zeugen von ihrem Engagement für Heimlichkeit, Ausdauer und weitreichende Kompromittierung.
Ziele
Salt TyphoonZiele
Zielländer von Salt Typhoon
Seit 2023 hat Salt Typhoon über 20 Organisationen auf der ganzen Welt betroffen. Zu den betroffenen Ländern gehören:
- Asien-Pazifik: Afghanistan, Indien, Indonesien, Malaysia, Pakistan, die Philippinen, Taiwan, Thailand und Vietnam.
- Afrika: Eswatini, Südafrika.
- Amerika: Brasilien, Vereinigte Staaten.
Bildquelle: Trend Micro
Zielindustrien von Salt Typhoon
Salt Typhoon zielt nun auf ein breiteres Spektrum von Branchen ab, darunter Technologie, Beratung, Chemie, Transport, Regierungsbehörden und gemeinnützige Organisationen, was einen äußerst opportunistischen und strategischen Ansatz widerspiegelt.
Zielindustrien von Salt Typhoon
Salt Typhoon zielt nun auf ein breiteres Spektrum von Branchen ab, darunter Technologie, Beratung, Chemie, Transport, Regierungsbehörden und gemeinnützige Organisationen, was einen äußerst opportunistischen und strategischen Ansatz widerspiegelt.
Die Opfer, die von Salt Typhoon
Zu den Opfern gehören in der Regel Regierungsbehörden und Technologieunternehmen, die in den Bereichen Innovation, Verteidigung und kritische nationale Infrastruktur tätig sind. Die angegriffenen Organisationen sind oft mit fortschrittlichen lateralen Bewegungstaktiken konfrontiert, sobald sie kompromittiert sind.
Angriffsmethode
Salt TyphoonDie Angriffsmethode
Kompromittiert administrative Konten durch Diebstahl von Anmeldeinformationen oder malware -Infektion, wobei häufig SMB oder Windows Management Instrumentation (WMI) ausgenutzt wird.
Ausnutzung von Schwachstellen in weit verbreiteten Systemen, darunter:
- Ivanti Connect Secure (CVE-2023-46805, CVE-2024-21887)
- Fortinet FortiClient EMS (CVE-2023-48788)
- Sophos Firewall (CVE-2022-3236)
- Microsoft Exchange (ProxyLogon-Schwachstellen: CVE-2021-26855, usw.)
Setzt Tools wie DLL-Sideloading und Registrierungsmanipulationen ein, um Zugriff auf Systemebene zu erhalten.
Setzt Verschleierungstechniken ein, darunter die GhostSpider-Backdoor und die Taktik, sich mit Tools wie WMIC.exe und PsExec von der Außenwelt abzugrenzen, sowie PowerShell-Downgrade-Angriffe und Maskierungstechniken, um die Erkennung zu umgehen.
Setzt Stealer wie SnappyBee (Deed RAT) oder benutzerdefinierte Stealer wie TrillClient ein, um Anmeldedaten und Browserdaten zu sammeln.
Führt die Erkennung von Domänenvertrauen und die Netzwerkerkundung durch, um die Umgebung des Opfers abzubilden.
Verbreitet malware mithilfe von SMB- und WMI-Befehlen und stellt Backdoors auf mehreren Rechnern bereit.
Konzentriert sich auf sensible Dateien (z. B. PDFs) und verwendet fortschrittliche Techniken wie SnappyBee, um Anmeldedaten und Sitzungs-Token zu stehlen.
Verteilt bösartige Nutzdaten über Cobalt Strike, benutzerdefinierte Backdoors (z. B. Zingdoor oder GhostSpider) und HemiGate.
Überträgt gesammelte Daten an externe Server oder Dienste wie AnonFiles, File.io und öffentliche Repositories.
Sorgt für Persistenz und beseitigt Anzeichen einer Infektion, indem es nach jedem Arbeitsgang die vorhandene malware säubert.
Erster Zugang
Kompromittiert administrative Konten durch Diebstahl von Anmeldeinformationen oder malware -Infektion, wobei häufig SMB oder Windows Management Instrumentation (WMI) ausgenutzt wird.
Ausnutzung von Schwachstellen in weit verbreiteten Systemen, darunter:
- Ivanti Connect Secure (CVE-2023-46805, CVE-2024-21887)
- Fortinet FortiClient EMS (CVE-2023-48788)
- Sophos Firewall (CVE-2022-3236)
- Microsoft Exchange (ProxyLogon-Schwachstellen: CVE-2021-26855, usw.)
Rechte-Eskalation
Setzt Tools wie DLL-Sideloading und Registrierungsmanipulationen ein, um Zugriff auf Systemebene zu erhalten.
Verteidigung Umgehung
Setzt Verschleierungstechniken ein, darunter die GhostSpider-Backdoor und die Taktik, sich mit Tools wie WMIC.exe und PsExec von der Außenwelt abzugrenzen, sowie PowerShell-Downgrade-Angriffe und Maskierungstechniken, um die Erkennung zu umgehen.
Zugang zu Anmeldeinformationen
Setzt Stealer wie SnappyBee (Deed RAT) oder benutzerdefinierte Stealer wie TrillClient ein, um Anmeldedaten und Browserdaten zu sammeln.
Entdeckung
Führt die Erkennung von Domänenvertrauen und die Netzwerkerkundung durch, um die Umgebung des Opfers abzubilden.
Seitliche Bewegung
Verbreitet malware mithilfe von SMB- und WMI-Befehlen und stellt Backdoors auf mehreren Rechnern bereit.
Sammlung
Konzentriert sich auf sensible Dateien (z. B. PDFs) und verwendet fortschrittliche Techniken wie SnappyBee, um Anmeldedaten und Sitzungs-Token zu stehlen.
Ausführung
Verteilt bösartige Nutzdaten über Cobalt Strike, benutzerdefinierte Backdoors (z. B. Zingdoor oder GhostSpider) und HemiGate.
Exfiltration
Überträgt gesammelte Daten an externe Server oder Dienste wie AnonFiles, File.io und öffentliche Repositories.
Auswirkungen
Sorgt für Persistenz und beseitigt Anzeichen einer Infektion, indem es nach jedem Arbeitsgang die vorhandene malware säubert.
MITRE ATT&CK Kartierung
TTPs verwendet von Salt Typhoon
TA0001: Initial Access
T1078
Valid Accounts
TA0002: Execution
T1059
Command and Scripting Interpreter
T1047
Windows Management Instrumentation
TA0003: Persistence
T1543
Create or Modify System Process
T1547
Boot or Logon Autostart Execution
T1574
Hijack Execution Flow
T1078
Valid Accounts
T1053
Scheduled Task/Job
TA0004: Privilege Escalation
T1134
Access Token Manipulation
T1543
Create or Modify System Process
T1547
Boot or Logon Autostart Execution
T1574
Hijack Execution Flow
T1078
Valid Accounts
T1053
Scheduled Task/Job
TA0005: Defense Evasion
T1134
Access Token Manipulation
T1036
Masquerading
T1027
Obfuscated Files or Information
T1070
Indicator Removal
T1574
Hijack Execution Flow
T1562
Impair Defenses
T1078
Valid Accounts
TA0006: Credential Access
T1056
Input Capture
TA0007: Discovery
T1482
Domain Trust Discovery
T1087
Account Discovery
TA0008: Lateral Movement
T1021
Remote Services
TA0009: Collection
T1113
Screen Capture
TA0011: Command and Control
T1071
Application Layer Protocol
TA0010: Exfiltration
T1567
Exfiltration Over Web Service
TA0040: Impact
No items found.
Plattform-Detektionen
Wie erkennt man Salt Typhoon mit Vectra AI
Liste der auf der Plattform Vectra AI verfügbaren Erkennungen, die auf einen Cyberangriff hindeuten könnten.
Häufig gestellte Fragen
Welche Branchen sind am stärksten von Salt Typhoon betroffen?
Salt Typhoon zielt auf die Bereiche Technologie, Beratung, Chemie, Transport, Behörden und gemeinnützige Organisationen ab.
Was sind die neuesten Tools, die von Salt Typhoon verwendet werden?
Neu hinzugekommen sind GhostSpider Backdoor, SnappyBee Stealer und das Demodex Rootkit.
Wie kann Salt Typhoon die Tarnung aufrechterhalten?
Sie nutzen Techniken, die sich von der Erde ernähren, und fortschrittliche Rootkits wie Demodex.
Welche Schwachstellen nutzen sie aus?
Zu den jüngsten Exploits gehören Sicherheitslücken in Ivanti Connect Secure, Sophos Firewall und Microsoft Exchange.
Wie exfiltriert Salt Typhoon Daten?
Gestohlene Daten werden auf AnonFiles oder File.io hochgeladen oder über verschlüsselte E-Mails verschickt.
Sind sie mit anderen Gruppen verbunden?
Es gibt Überschneidungen mit chinesischen APTs wie FamousSparrow und anderen regierungsnahen Organisationen.
Wie können Organisationen ihre Aktivitäten erkennen?
Überwachung auf ungewöhnliche PowerShell-Befehle, DLL-Sideloading und Cobalt Strike Beacons.
Wie groß ist die Gefahr für die Lieferkette?
Salt Typhoon nutzt die Maschinen von Auftragnehmern, um über vertrauenswürdige Beziehungen in der Lieferkette mehrere Unternehmen zu infiltrieren.
Welche Maßnahmen entschärfen die Angriffe?
Setzen Sie endpoint Erkennungstools ein, setzen Sie Patch-Management durch und überwachen Sie den Datenverkehr auf bekannte C&C-Muster.
Wie lautet die internationale Antwort?
Der gemeinsame Austausch von Informationen und einheitliche Strategien sind unerlässlich, um die wachsende Bedrohung einzudämmen.