その起源Volt Typhoon
Volt Typhoon は、中華人民共和国（PRC）に関連する国家支援の高度持続的脅威（APT）グループである。少なくとも2021年半ばから活動しているこのAPTは、米国内の重要インフラ組織を標的としていることで知られています。Volt Typhoon は、中国の広範なサイバースパイ活動の一環であり、Windows 組み込みのツールや living-off-the-land テクニックを多用することで、戦略的標的を侵害し、検知を回避することに重点を置いています。
ターゲット
Volt Typhoonターゲット
対象国Volt Typhoon
その主な焦点は米国に置かれているが、Volt Typhoonの活動は、中国のグローバルな諜報活動の目的からすれば、地理的に限定されたものではないだろう。同グループの活動は、地政学的な敵対勢力を監視し、潜在的に利用することを目的としている。
対象産業Volt Typhoon
Volt Typhoon は、テレコミュニケーション、製造業、公益事業者、エネルギーや輸送のような重要なインフラ部門など、戦略的に重要な産業に焦点を当てている。これらの標的は、情報収集と潜在的な作戦妨害の動機を示唆している。
対象産業Volt Typhoon
Volt Typhoon は、テレコミュニケーション、製造業、公益事業者、エネルギーや輸送のような重要なインフラ部門など、戦略的に重要な産業に焦点を当てている。これらの標的は、情報収集と潜在的な作戦妨害の動機を示唆している。
Volt Typhoon犠牲者
具体的な組織は公表されていないことが多いが、Volt Typhoon 、重要なインフラ組織を侵害し、データ収集のために侵害されたシステムを活用していることが確認されている。彼らの手口は、国家戦略上の優位性のために貴重な情報を得ることができる組織に焦点を当てていることを示唆している。
攻撃方法
Volt Typhoonアタッチ・メソッド
Volt Typhoon は、インターネットに接続された機器、特に小規模オフィス／ホームオフィス（SOHO）ネットワーク機器の脆弱性を悪用し、初期アクセスを試みる。その手口には、パスワードの吹き込みや、安全性の低いリモート管理プロトコルの悪用などがあります。
アクセスが確立されると、グループは特権を昇格させ、侵害されたネットワークに対するより高いレベルの制御を取得します。これには多くの場合、正規の認証情報を悪用します。
Volt Typhoon PowerShellやWindows Management Instrumentation (WMI)といったWindowsに内蔵されたツールを使用し、検知を回避する。ステルス性を維持するために、malware 。
彼らはMimikatzのようなツールを使って認証情報を採取し、侵害されたネットワーク内で機密情報を探す。
このグループは、コマンドを使用してシステム設定、ユーザーアカウント、ネットワークトポロジーを特定し、横の動きとさらなる悪用を可能にする。
Volt Typhoon は、リモートサービスとRDPを使用して、運用上のセキュリティを維持しながら、侵害されたシステムをナビゲートする。
電子メール通信、機密ファイル、インフラ関連情報など、関心のあるデータが特定され、収集される。
実行フェーズでは、スクリプトやコマンドを実行して永続性を維持し、運用目標を達成する。
標準的なネットワークプロトコルを使用して収集したデータを流出させ、通常のトラフィックに紛れ込ませて検知を逃れる。
Volt Typhoon は、即座の破壊活動よりも長期的な情報収集に主眼を置いている。しかし、その能力は将来の破壊工作を可能にするかもしれない。
初期アクセス
Volt Typhoon は、インターネットに接続された機器、特に小規模オフィス／ホームオフィス（SOHO）ネットワーク機器の脆弱性を悪用し、初期アクセスを試みる。その手口には、パスワードの吹き込みや、安全性の低いリモート管理プロトコルの悪用などがあります。
特権エスカレーション
アクセスが確立されると、グループは特権を昇格させ、侵害されたネットワークに対するより高いレベルの制御を取得します。これには多くの場合、正規の認証情報を悪用します。
防御回避
Volt Typhoon PowerShellやWindows Management Instrumentation (WMI)といったWindowsに内蔵されたツールを使用し、検知を回避する。ステルス性を維持するために、malware 。
クレデンシャル・アクセス
彼らはMimikatzのようなツールを使って認証情報を採取し、侵害されたネットワーク内で機密情報を探す。
ディスカバリー
このグループは、コマンドを使用してシステム設定、ユーザーアカウント、ネットワークトポロジーを特定し、横の動きとさらなる悪用を可能にする。
横の動き
Volt Typhoon は、リモートサービスとRDPを使用して、運用上のセキュリティを維持しながら、侵害されたシステムをナビゲートする。
コレクション
電子メール通信、機密ファイル、インフラ関連情報など、関心のあるデータが特定され、収集される。
実行
実行フェーズでは、スクリプトやコマンドを実行して永続性を維持し、運用目標を達成する。
データ流出
標準的なネットワークプロトコルを使用して収集したデータを流出させ、通常のトラフィックに紛れ込ませて検知を逃れる。
インパクト
Volt Typhoon は、即座の破壊活動よりも長期的な情報収集に主眼を置いている。しかし、その能力は将来の破壊工作を可能にするかもしれない。
MITRE ATT&CK マッピング
が使用するTTPVolt Typhoon
TA0001: Initial Access
T1078
Valid Accounts
TA0002: Execution
T1203
Exploitation for Client Execution
T1059
Command and Scripting Interpreter
T1047
Windows Management Instrumentation
TA0003: Persistence
T1078
Valid Accounts
TA0004: Privilege Escalation
T1078
Valid Accounts
TA0005: Defense Evasion
T1562
Impair Defenses
T1078
Valid Accounts
TA0006: Credential Access
T1003
OS Credential Dumping
TA0007: Discovery
T1087
Account Discovery
T1016
System Network Configuration Discovery
TA0008: Lateral Movement
No items found.
TA0009: Collection
No items found.
TA0011: Command and Control
T1105
Ingress Tool Transfer
T1071
Application Layer Protocol
TA0010: Exfiltration
No items found.
TA0040: Impact
No items found.
プラットフォーム検出
検知 Volt Typhoon Vectra AIを使う方法
Vectra AIプラットフォームで利用可能な、サイバー攻撃を示す検出のリスト。