Salt Typhoon: colpite oltre 600 aziende in 80 paesi

Il gruppo Salt Typhoon hanno colpito oltre 600 aziende in oltre 80 paesi. È sicuramente una delle più grandi operazioni di cyperspionaggio mai realizzate. Un documento descrive in dettaglio le tattiche, tecniche e procedure usate per accedere alle reti e intercettare le comunicazioni. Le attività dei cybercriminali cinesi sono ancora in corso.

Complicità di tre aziende cinesi

La campagna di cyberspionaggio è iniziata nel 2021. Le autorità statunitensi avevano confermato l’accesso alle infrastrutture di rete di nove operatori TLC e provider Internet, ma nei mesi successivi è stata scoperta la reale portata degli attacchi effettuati dal gruppo Salt Typhoon. I cybercriminali hanno colpito oltre 600 aziende in oltre 80 paesi che operano i diversi settori.

In base al comunicato congiunto (PDF) pubblicato da 23 agenzie di intelligence e sicurezza di 13 paesi (AISE e AISI per l’Italia), il gruppo Salt Typhoon, finanziato dal governo cinese, ha ricevuto supporto (prodotti e servizi) da tre aziende: Sichuan Juxinhe Network Technology, Beijing Huanyu Tianqiong Information Technology e Sichuan Zhixin Ruijie Network Technology.

I cybercriminali hanno intercettato le comunicazioni private di migliaia di persone, inclusi politici e funzionari governativi. L’accesso iniziale è avvenuto sfruttando diverse vulnerabilità presenti in dispositivi di rete, tra cui firewall, router e switch. Successivamente hanno modificato le liste di controllo degli accessi, aperto connessioni SSH, SFTP, FTP, RDP, HTTP e HTTPS, creato tunnel GRE/IPSec ed eseguito vari comandi per ottenere la persistenza.

Dopo aver individuato i dispositivi nelle reti hanno intercettato il traffico di livello 2 o 3. Le vulnerabilità sono state risolte, ma l’attività di cyberspionaggio continua ancora oggi. I cybercriminali hanno “punti di ingresso nascosti” in vari software, quindi le aziende devono eseguire un controllo di sicurezza approfondito e applicare le necessarie mitigazioni, come specificato nel comunicato.

Un portavoce dell’ambasciata a Washington ha dichiarato che le agenzie di intelligence e sicurezza hanno collaborato per accusare la Cina attraverso prove false.