Исследователи раскрыли цепочки взломанных устройств для атак Volt Typhoon
Изображение: OpenAI
Группировка Volt Typhoon использовала постоянно меняющиеся цепочки взломанных устройств для скрытых атак на критическую инфраструктуру США, выяснила лаборатория Black Lotus Labs телекоммуникационной компании Lumen Technologies. Исследователи назвали операцию Silent Train и уведомили сотни пострадавших организаций.
Новую цепочку из других устройств злоумышленники собирали менее чем за две минуты, рассказал CyberScoop ведущий инженер лаборатории. По его оценке, такую инфраструктуру трудно вывести из строя: единой постоянной сети, которую можно отключить, нет. Исследователи предупреждают, что их наблюдения не отражают весь масштаб активности Volt Typhoon.
Группа использовала более 27 классов устройств. Через взломанные маршрутизаторы и другую промежуточную инфраструктуру она скрывала атаки на целевые сети. Среди производителей скомпрометированных устройств и систем исследователи назвали:
- Fortinet;
- Cisco;
- ManageEngine;
- Ivanti;
- Palo Alto Networks;
- TP-Link;
- Netgear и другие компании.
Black Lotus Labs подтвердила атаки с уязвимостями нулевого дня на следующие продукты: Versa Director, N-Able N-Central, Cisco Catalyst SD-WAN и VeloCloud Orchestrator. Исследователи рекомендуют усилить защиту централизованных систем управления, ограничить доступ из интернета к административным интерфейсам, быстро устанавливать исправления и централизованно хранить журналы дольше обычного.
Поддерживаемая властями Китая группировка использует Silent Train с конца 2023 года, чтобы проникать глубже в сети жертв и сохранять доступ. По данным исследователей, она стала активнее полагаться на эту инфраструктуру после того, как ФБР и Минюст США нарушили работу её ботнета KV Botnet в начале 2024 года.
