Salt Typhoon
Salt Typhoonまた、Earth Estries、FamousSparrow、GhostEmperor、UNC2286などの別名でも知られる高度持続的脅威（APT）グループは、サイバースパイ活動を専門としています。
その起源Salt Typhoon
少なくとも2020年以降、このグループは高度に洗練されたサイバースパイ活動を世界的に展開してきた。malware の高度な武器庫とゼロデイ脆弱性の悪用で知られるSalt Typhoon は、2023年に新たな産業、拡大した地域、より攻撃的な戦術を含むようにその範囲を広げています。このAPTグループの武器庫とオペレーションは、ステルス性、持続性、広範な侵害へのコミットメントを示しています。
ターゲット
Salt Typhoonターゲット
対象国Salt Typhoon
2023年以来、Salt Typhoon 、世界中の20以上の組織が影響を受けている。影響を受けた国は以下の通り：
- アジア太平洋地域：アフガニスタン、インド、インドネシア、マレーシア、パキスタン、フィリピン、台湾、タイ、ベトナム。
- アフリカエスワティニ、南アフリカ
- アメリカ大陸ブラジル, 米国.
画像ソース トレンドマイクロ
対象産業Salt Typhoon
Salt Typhoon 現在では、テクノロジー、コンサルティング、化学、運輸、政府機関、非営利団体など、より幅広い業界を対象としており、非常にオポチュニスティックかつ戦略的なアプローチを反映している。
対象産業Salt Typhoon
Salt Typhoon 現在では、テクノロジー、コンサルティング、化学、運輸、政府機関、非営利団体など、より幅広い業界を対象としており、非常にオポチュニスティックかつ戦略的なアプローチを反映している。
に狙われた被害者Salt Typhoon
被害者は通常、技術革新、防衛、重要な国家インフラに関わる政府機関やハイテク企業などである。標的とされた組織は、一旦侵害されると、しばしば高度な横移動戦術に直面します。
攻撃方法
Salt Typhoon攻撃方法
SMB や Windows Management Instrumentation (WMI) を悪用し、クレデンシャルの窃取やmalware 感染によって管理者アカウントを侵害します。
広く使われているシステムの脆弱性を突く：
- Ivanti Connect Secure (CVE-2023-46805, CVE-2024-21887)
- Fortinet FortiClient EMS (CVE-2023-48788)
- Sophos Firewall (CVE-2022-3236)
- Microsoft Exchange（ProxyLogonの脆弱性：CVE-2021-26855など）
DLLのサイドローディングや レジストリ操作などのツールを展開し、システムレベルのアクセスを獲得する。
GhostSpiderバックドアや、WMIC.exeやPsExecのようなツールを使用した "living-off-the-land "戦術、PowerShellダウングレード攻撃、検知を回避するためのマスカレード技術などの難読化技術を使用します。
SnappyBee (Deed RAT)のようなステーラーやTrillClientのようなカスタムステーラーを展開し、認証情報やブラウザデータを採取する。
被害者の環境をマッピングするために、ドメインの信頼性の発見とネットワークの偵察を行う。
SMB や WMI コマンドを使用してmalware を伝播し、複数のマシンにバックドアを展開する。
機密性の高いファイル（PDFなど）に焦点を当て、SnappyBeeのような高度なテクニックを使って認証情報やセッショントークンを盗みます。
Cobalt Strike 、カスタムバックドア（ZingdoorやGhostSpiderなど）、HemiGateを介して悪意のあるペイロードを展開する。
収集したデータをAnonFiles、File.io、パブリックリポジトリなどの外部サーバーやサービスに転送します。
各運用ラウンド後に既存のmalware を清掃することにより、持続性を確保し、感染の証拠を除去する。
初期アクセス
SMB や Windows Management Instrumentation (WMI) を悪用し、クレデンシャルの窃取やmalware 感染によって管理者アカウントを侵害します。
広く使われているシステムの脆弱性を突く：
- Ivanti Connect Secure (CVE-2023-46805, CVE-2024-21887)
- Fortinet FortiClient EMS (CVE-2023-48788)
- Sophos Firewall (CVE-2022-3236)
- Microsoft Exchange（ProxyLogonの脆弱性：CVE-2021-26855など）
特権エスカレーション
DLLのサイドローディングや レジストリ操作などのツールを展開し、システムレベルのアクセスを獲得する。
防御回避
GhostSpiderバックドアや、WMIC.exeやPsExecのようなツールを使用した "living-off-the-land "戦術、PowerShellダウングレード攻撃、検知を回避するためのマスカレード技術などの難読化技術を使用します。
クレデンシャル・アクセス
SnappyBee (Deed RAT)のようなステーラーやTrillClientのようなカスタムステーラーを展開し、認証情報やブラウザデータを採取する。
ディスカバリー
被害者の環境をマッピングするために、ドメインの信頼性の発見とネットワークの偵察を行う。
横の動き
SMB や WMI コマンドを使用してmalware を伝播し、複数のマシンにバックドアを展開する。
コレクション
機密性の高いファイル（PDFなど）に焦点を当て、SnappyBeeのような高度なテクニックを使って認証情報やセッショントークンを盗みます。
実行
Cobalt Strike 、カスタムバックドア（ZingdoorやGhostSpiderなど）、HemiGateを介して悪意のあるペイロードを展開する。
データ流出
収集したデータをAnonFiles、File.io、パブリックリポジトリなどの外部サーバーやサービスに転送します。
インパクト
各運用ラウンド後に既存のmalware を清掃することにより、持続性を確保し、感染の証拠を除去する。
MITRE ATT&CK マッピング
が使用するTTPSalt Typhoon
TA0001: Initial Access
T1078
Valid Accounts
TA0002: Execution
T1059
Command and Scripting Interpreter
T1047
Windows Management Instrumentation
TA0003: Persistence
T1543
Create or Modify System Process
T1547
Boot or Logon Autostart Execution
T1574
Hijack Execution Flow
T1078
Valid Accounts
T1053
Scheduled Task/Job
TA0004: Privilege Escalation
T1134
Access Token Manipulation
T1543
Create or Modify System Process
T1547
Boot or Logon Autostart Execution
T1574
Hijack Execution Flow
T1078
Valid Accounts
T1053
Scheduled Task/Job
TA0005: Defense Evasion
T1134
Access Token Manipulation
T1036
Masquerading
T1027
Obfuscated Files or Information
T1070
Indicator Removal
T1574
Hijack Execution Flow
T1562
Impair Defenses
T1078
Valid Accounts
TA0006: Credential Access
T1056
Input Capture
TA0007: Discovery
T1482
Domain Trust Discovery
T1087
Account Discovery
TA0008: Lateral Movement
T1021
Remote Services
TA0009: Collection
T1113
Screen Capture
TA0011: Command and Control
T1071
Application Layer Protocol
TA0010: Exfiltration
T1567
Exfiltration Over Web Service
TA0040: Impact
No items found.
プラットフォーム検出
検知 Salt Typhoon Vectra AIを使う方法
Vectra AIプラットフォームで利用可能な、サイバー攻撃を示す検出のリスト。
よくあるご質問(FAQ)
Salt Typhoon の影響を最も受けるのはどのような産業だろうか？
Salt Typhoon テクノロジー、コンサルティング、化学、運輸、政府、非営利団体を対象としている。
Salt Typhoon で使われている最新のツールとは？
GhostSpiderバックドア、SnappyBeeステアラー、Demodexルートキットなどが新たに加わった。
Salt Typhoon はどのようにしてステルス性を維持しているのか？
彼らはLiving off the land技術や、デモデックスのような高度なルートキットを使用する。
どのような脆弱性を突いてくるのか？
最近の悪用には、Ivanti Connect Secure、Sophos Firewall、Microsoft Exchangeの脆弱性が含まれる。
Salt Typhoon どのようにしてデータを流出させるのか？
盗まれたデータは、AnonFilesや File.ioにアップロードされるか、暗号化された電子メールで送信される。
他のグループとつながっているのか？
FamousSparrowのような中国のAPTやその他の政府関連組織と重複している。
組織はどのように検知 。
通常とは異なるPowerShellコマンド、DLLのサイドローディング、Cobalt Strike ビーコンを監視します。
サプライチェーンに対する脅威とは何か？
Salt Typhoon は、請負業者のマシンを悪用し、信頼できるサプライチェーン関係を通じて複数の組織に侵入する。
攻撃を軽減する対策とは？
エンドポイント検出ツールを導入し、パッチ管理を実施し、既知のC&Cパターンのトラフィックを監視する。
インターナショナルレスポンス とは？
増大する脅威を軽減するためには、共同での情報共有と統一戦略が不可欠である。