Kinesiska Volt Typhoon-gruppen utnyttjar LOLBins för cyberspionage
En kinesisk hackargrupp vid namn Volt Typhoon använder systemets egna verktyg för att dölja sina attacker. Gruppen riktar in sig på kritisk infrastruktur i USA och Asien.
Enligt en rapport från cybersäkerhetsföretaget Picus Security utnyttjar den Kina-kopplade hackargruppen Volt Typhoon, även känd som BRONZE SILHOUETTE, allmänt förekommande systemverktyg (LOLBins – Living Off The Land Binaries) för att utföra cyberspionage. Gruppen fokuserar sina operationer mot kritisk infrastruktur i både USA och Asien.
Volt Typhoons primära mål är att samla in och exfiltrera känslig information från sina mål, samtidigt som de undviker upptäckt. Deras metod involverar initial åtkomst, rekognoscering med LOLBins, sidorörelser inom nätverket och dataexfiltrering via kommand- och kontrollservrar.
Hackarna erhåller initial åtkomst genom stulna autentiseringsuppgifter och genom att utnyttja sårbarheter i produkter från leverantörer som Fortinet och ManageEngine. För exekvering av kommandon och informationsinsamling används Windows Management Instrumentation (WMI) samt PowerShell- och kommandotolkskript.
För att upprätthålla beständighet installerar Volt Typhoon webbskal (webshells) som kan kryptera kommunikationen. Gruppen raderar även systemloggar och andra spår av sina aktiviteter för att försvåra utredningar.
Picus Securitys analys belyser naturen hos avancerade hot och behovet av kontinuerlig säkerhetsövervakning och hotjakt, särskilt inom kritiska sektorer.