La compañía ha comunicado su descubrimiento a través de un detallado post con líneas de código y abundante información sobre el ataque sufrido. Sus explicaciones permiten tomar precauciones para ser víctima de ese ataque de piratas informáticos. “Microsoft ha descubierto una actividad maliciosa sigilosa y selectiva centrada en el acceso a credenciales tras la vulneración y el descubrimiento de sistemas de red dirigida a organizaciones de infraestructuras críticas en Estados Unidos”, comienza el mensaje. “El ataque lo lleva a cabo Volt Typhoon, un actor patrocinado por el Estado con sede en China que normalmente se centra en el espionaje y la recopilación de información”, añade.

Microsoft evalúa con una “confianza moderada” que esta campaña del grupo denominado Volt Typhoon persigue el desarrollo de capacidades que podrían interrumpir las infraestructuras de comunicaciones críticas entre Estados Unidos y la región asiática durante futuras crisis, según su información. Por ahora, la intromisión se ha realizado solo para espionaje y no se ha producido ningún sabotaje ni daños de otro tipo.

La Agencia de Seguridad Nacional (NSA, por sus siglas en inglés) también ha publicado un informe de 24 páginas en que explica los métodos utilizados por el grupo supuestamente respaldado por el Gobierno chino. En dicho informe se señala que han estado trabajando en la investigación agencias de seguridad e inteligencia de Estados Unidos, Australia, Nueva Zelanda y Reino Unido.

Operación secreta

Volt Typhoon lleva activo desde mediados de 2021 y ha tenido como objetivo organizaciones de infraestructuras críticas de Guam y otros lugares de Estados Unidos. En esta campaña, las organizaciones afectadas abarcan los sectores de comunicaciones, fabricación, servicios públicos, transporte, construcción, marítimo, gobierno, tecnología de la información y educación. “El comportamiento observado sugiere que el actor de la amenaza pretende realizar espionaje y mantener el acceso sin ser detectado durante el mayor tiempo posible”, explica Microsoft.

Para lograr su objetivo, el grupo Volt Typhoon puso un fuerte énfasis en el sigilo de su operación, basándose casi exclusivamente en técnicas muy difíciles de detectar. Los miembros del grupo emiten comandos a través de la línea de comandos para recopilar datos, incluidas credenciales de sistemas locales y de red, colocar los datos en un archivo de almacenamiento para prepararlos para su extracción y, a continuación, utilizar las credenciales válidas robadas para mantener la intrusión, según el resumen que hace Microsoft.

Además, Volt Typhoon intenta camuflarse en la actividad normal de la red enrutando el tráfico a través de equipos de red de pequeñas oficinas y oficinas domésticas (SOHO) comprometidos, incluidos enrutadores, cortafuegos y hardware VPN (redes privadas virtuales). También se ha observado que utilizan versiones personalizadas de herramientas de código abierto para establecer un canal de mando y control a través de proxy para pasar más desapercibidos, continúa.

Al igual que en el caso de cualquier actividad observada de un actor nacional, Microsoft ha notificado directamente a los clientes afectados o comprometidos, proporcionándoles información importante necesaria para proteger sus entornos.

Fuentes:

https://elpais.com/internacional/2023-05-24/microsoft-desvela-un-ataque-informatico-chino-a-infraestructuras-criticas-de-estados-unidos.html

https://www.microsoft.com/en-us/security/blog/2023/05/24/volt-typhoon-targets-us-critical-infrastructure-with-living-off-the-land-techniques/

https://media.defense.gov/2023/May/24/2003229517/-1/-1/0/CSA_Living_off_the_Land.PDF

https://www.secureworks.com/blog/chinese-cyberespionage-group-bronze-silhouette-targets-us-government-and-defense-organizations