Salt Typhoon
Salt Typhoonまた、Earth Estries、FamousSparrow、GhostEmperor、UNC2286などの別名でも知られる高度持続的脅威（APT）グループは、サイバースパイ活動を専門としています。
その起源Salt Typhoon
少なくとも2020年以降、このグループは高度に洗練されたサイバースパイ活動を世界的に展開してきた。マルウェアの高度な武器庫とzero-day の脆弱性の悪用で知られるSalt Typhoon は、2023 年には新たな産業、拡大した地域、より攻撃的な戦術を含むようにその範囲を広げています。このAPTグループの武器庫とオペレーションは、ステルス性、持続性、広範な侵害へのコミットメントを示しています。
対象国Salt Typhoon
2023年以来、Salt Typhoon 、世界中の20以上の組織が影響を受けている。影響を受けた国は以下の通り：
- アジア太平洋地域：アフガニスタン、インド、インドネシア、マレーシア、パキスタン、フィリピン、台湾、タイ、ベトナム。
- アフリカエスワティニ、南アフリカ
- アメリカ大陸ブラジル, 米国.
画像ソース トレンドマイクロ
対象産業Salt Typhoon
Salt Typhoon 現在では、テクノロジー、コンサルティング、化学、運輸、政府機関、非営利団体など、より幅広い業界を対象としており、非常にオポチュニスティックかつ戦略的なアプローチを反映している。
に狙われた被害者Salt Typhoon
被害者は通常、技術革新、防衛、重要な国家インフラに関わる政府機関やハイテク企業などである。標的とされた組織は、一旦侵害されると、しばしば高度なラテラルムーブ戦術に直面します。
Salt Typhoon攻撃方法
SMB や Windows Management Instrumentation (WMI) を悪用し、クレデンシャルの窃取やmalware 感染によって管理者アカウントを侵害します。
広く使われているシステムの脆弱性を突く：
- Ivanti Connect Secure (CVE-2023-46805, CVE-2024-21887)
- Fortinet FortiClient EMS (CVE-2023-48788)
- Sophos Firewall (CVE-2022-3236)
- Microsoft Exchange（ProxyLogonの脆弱性：CVE-2021-26855など）
DLLのサイドローディングや レジストリ操作などのツールを展開し、システムレベルのアクセスを獲得する。
GhostSpiderバックドアや、WMIC.exeやPsExecのようなツールを使用した "living-off-the-land "戦術、PowerShellダウングレード攻撃、検知を回避するためのマスカレード技術などの難読化技術を使用します。
SnappyBee (Deed RAT)のようなステーラーやTrillClientのようなカスタムステーラーを展開し、認証情報やブラウザデータを採取する。
被害者の環境をマッピングするために、ドメインの信頼性の発見とネットワークの偵察を行う。
SMB や WMI コマンドを使用してmalware を伝播し、複数のマシンにバックドアを展開する。
機密性の高いファイル（PDFなど）に焦点を当て、SnappyBeeのような高度なテクニックを使って認証情報やセッショントークンを盗みます。
Cobalt Strike 、カスタムバックドア（ZingdoorやGhostSpiderなど）、HemiGateを介して悪意のあるペイロードを展開する。
収集したデータをAnonFiles、File.io、パブリックリポジトリなどの外部サーバーやサービスに転送します。
各運用ラウンド後に既存のmalware を清掃することにより、持続性を確保し、感染の証拠を除去する。
SMB や Windows Management Instrumentation (WMI) を悪用し、クレデンシャルの窃取やmalware 感染によって管理者アカウントを侵害します。
広く使われているシステムの脆弱性を突く：
- Ivanti Connect Secure (CVE-2023-46805, CVE-2024-21887)
- Fortinet FortiClient EMS (CVE-2023-48788)
- Sophos Firewall (CVE-2022-3236)
- Microsoft Exchange（ProxyLogonの脆弱性：CVE-2021-26855など）
DLLのサイドローディングや レジストリ操作などのツールを展開し、システムレベルのアクセスを獲得する。
GhostSpiderバックドアや、WMIC.exeやPsExecのようなツールを使用した "living-off-the-land "戦術、PowerShellダウングレード攻撃、検知を回避するためのマスカレード技術などの難読化技術を使用します。
SnappyBee (Deed RAT)のようなステーラーやTrillClientのようなカスタムステーラーを展開し、認証情報やブラウザデータを採取する。
被害者の環境をマッピングするために、ドメインの信頼性の発見とネットワークの偵察を行う。
SMB や WMI コマンドを使用してmalware を伝播し、複数のマシンにバックドアを展開する。
機密性の高いファイル（PDFなど）に焦点を当て、SnappyBeeのような高度なテクニックを使って認証情報やセッショントークンを盗みます。
Cobalt Strike 、カスタムバックドア（ZingdoorやGhostSpiderなど）、HemiGateを介して悪意のあるペイロードを展開する。
収集したデータをAnonFiles、File.io、パブリックリポジトリなどの外部サーバーやサービスに転送します。
各運用ラウンド後に既存のmalware を清掃することにより、持続性を確保し、感染の証拠を除去する。
Salt Typhoonが使用するTTP
検知 Salt Typhoon Vectra AIを使う方法
Vectra AIプラットフォームで利用可能な、サイバー攻撃を示す検出のリスト。
よくあるご質問(FAQ)
Salt Typhoon の影響を最も受けるのはどのような産業だろうか？
Salt Typhoon テクノロジー、コンサルティング、化学、運輸、政府、非営利団体を対象としている。
Salt Typhoon で使われている最新のツールとは？
GhostSpiderバックドア、SnappyBeeステアラー、Demodexルートキットなどが新たに加わった。
Salt Typhoon はどのようにしてステルス性を維持しているのか？
彼らはLiving off the land技術や、デモデックスのような高度なルートキットを使用する。
どのような脆弱性を突いてくるのか？
最近の悪用には、Ivanti Connect Secure、Sophos Firewall、Microsoft Exchangeの脆弱性が含まれる。
Salt Typhoon どのようにしてデータを流出させるのか？
盗まれたデータは、AnonFilesや File.ioにアップロードされるか、暗号化された電子メールで送信される。
他のグループとつながっているのか？
FamousSparrowのような中国のAPTやその他の政府関連組織と重複している。
組織はどのように検知 。
通常とは異なるPowerShellコマンド、DLLのサイドローディング、Cobalt Strike ビーコンを監視します。
サプライチェーンに対する脅威とは何か？
Salt Typhoon は、請負業者のマシンを悪用し、信頼できるサプライチェーン関係を通じて複数の組織に侵入する。
攻撃を軽減する対策とは？
エンドポイント検出ツールを導入し、パッチ管理を実施し、既知のC&Cパターンのトラフィックを監視する。
インターナショナルレスポンス とは？
増大する脅威を軽減するためには、共同での情報共有と統一戦略が不可欠である。