Volt Typhoonの起源
Volt Typhoon は、中華人民共和国（PRC）に関連する国家支援の高度持続的脅威（APT）グループである。少なくとも2021年半ばから活動しているこのAPTは、米国内の重要インフラ組織を標的としていることで知られています。Volt Typhoon は、中国の広範なサイバースパイ活動の一環であり、Windows 組み込みのツールや living-off-the-land テクニックを多用することで、戦略的標的を侵害し、検知を回避することに重点を置いています。
ターゲット
Volt Typhoonのターゲット
Volt Typhoonの対象国
Volt Typhoonの主目的は米国だが、中国の世界的な諜報活動の目的を考えると、その活動は地理的に制限されない可能性が高い。同グループの活動は、地政学的な敵対国を監視し、潜在的に利用することを目的としている。
Volt Typhoonの対象産業
Volt Typhoon は、通信、製造、公共事業会社、エネルギーや輸送などの重要なインフラ部門など、戦略的に重要な業界をターゲットにしています。これらのターゲットは、情報を収集し、潜在的に業務を妨害する動機を示唆しています。
Volt Typhoonの対象産業
Volt Typhoon は、通信、製造、公共事業会社、エネルギーや輸送などの重要なインフラ部門など、戦略的に重要な業界をターゲットにしています。これらのターゲットは、情報を収集し、潜在的に業務を妨害する動機を示唆しています。
Volt Typhoonの犠牲者
具体的な組織は公表されていないことが多いが、Volt Typhoon 、重要なインフラ組織を侵害し、データ収集のために侵害されたシステムを活用していることが確認されている。彼らの手口は、国家戦略上の優位性のために貴重な情報を得ることができる組織に焦点を当てていることを示唆している。
攻撃方法
Volt Typhoonアタッチ・メソッド
Volt Typhoon は、インターネットに接続された機器、特に小規模オフィス／ホームオフィス（SOHO）ネットワーク機器の脆弱性を悪用し、初期アクセスを試みる。その手口には、パスワードの吹き込みや、安全性の低いリモート管理プロトコルの悪用などがあります。
アクセスが確立されると、グループは特権を昇格させ、侵害されたネットワークに対するより高いレベルの制御を取得します。これには多くの場合、正規の認証情報を悪用します。
Volt Typhoon は、検出を回避するために PowerShell や Windows Management Instrumentation (WMI) などの組み込み Windows ツールのみを使用する Living-Off-The-Land 技術に依存しています。ステルス性を維持するためにマルウェアの展開を避けています。
彼らはMimikatzのようなツールを使って認証情報を採取し、侵害されたネットワーク内で機密情報を探します。
このグループは、コマンドを使用してシステム設定、ユーザーアカウント、ネットワークトポロジーを特定し、横の動きとさらなる悪用を可能にする。
Volt Typhoon は、リモートサービスとRDPを使用して、運用上のセキュリティを維持しながら、侵害されたシステムをナビゲートします。
電子メール通信、機密ファイル、インフラ関連情報など、関心のあるデータが特定され、収集されます。
実行フェーズでは、スクリプトやコマンドを実行して永続性を維持し、運用目標を達成する。
標準的なネットワークプロトコルを使用して収集したデータを流出させ、通常のトラフィックに紛れ込ませて検知を逃れます。
Volt Typhoon は、即座の破壊活動よりも長期的な情報収集に主眼を置いている。しかし、その能力は将来の破壊工作を可能にするかもしれません。
初期アクセス
Volt Typhoon は、インターネットに接続された機器、特に小規模オフィス／ホームオフィス（SOHO）ネットワーク機器の脆弱性を悪用し、初期アクセスを試みる。その手口には、パスワードの吹き込みや、安全性の低いリモート管理プロトコルの悪用などがあります。
特権エスカレーション
アクセスが確立されると、グループは特権を昇格させ、侵害されたネットワークに対するより高いレベルの制御を取得します。これには多くの場合、正規の認証情報を悪用します。
防御回避
Volt Typhoon は、検出を回避するために PowerShell や Windows Management Instrumentation (WMI) などの組み込み Windows ツールのみを使用する Living-Off-The-Land 技術に依存しています。ステルス性を維持するためにマルウェアの展開を避けています。
クレデンシャル・アクセス
彼らはMimikatzのようなツールを使って認証情報を採取し、侵害されたネットワーク内で機密情報を探します。
ディスカバリー
このグループは、コマンドを使用してシステム設定、ユーザーアカウント、ネットワークトポロジーを特定し、横の動きとさらなる悪用を可能にする。
横の動き
Volt Typhoon は、リモートサービスとRDPを使用して、運用上のセキュリティを維持しながら、侵害されたシステムをナビゲートします。
コレクション
電子メール通信、機密ファイル、インフラ関連情報など、関心のあるデータが特定され、収集されます。
実行
実行フェーズでは、スクリプトやコマンドを実行して永続性を維持し、運用目標を達成する。
データ流出
標準的なネットワークプロトコルを使用して収集したデータを流出させ、通常のトラフィックに紛れ込ませて検知を逃れます。
インパクト
Volt Typhoon は、即座の破壊活動よりも長期的な情報収集に主眼を置いている。しかし、その能力は将来の破壊工作を可能にするかもしれません。
MITRE ATT&CK マッピング
が使用するTTPVolt Typhoon
TA0001: Initial Access
T1078
Valid Accounts
TA0002: Execution
T1203
Exploitation for Client Execution
T1059
Command and Scripting Interpreter
T1047
Windows Management Instrumentation
TA0003: Persistence
T1078
Valid Accounts
TA0004: Privilege Escalation
T1078
Valid Accounts
TA0005: Defense Evasion
T1562
Impair Defenses
T1078
Valid Accounts
TA0006: Credential Access
T1003
OS Credential Dumping
TA0007: Discovery
T1087
Account Discovery
T1016
System Network Configuration Discovery
TA0008: Lateral Movement
No items found.
TA0009: Collection
No items found.
TA0011: Command and Control
T1105
Ingress Tool Transfer
T1071
Application Layer Protocol
TA0010: Exfiltration
No items found.
TA0040: Impact
No items found.
プラットフォーム検出
検知 Volt Typhoon Vectra AIを使う方法
Vectra AIプラットフォームで利用可能な、サイバー攻撃を示す検出のリスト。