中国のハッカーグループVolt Typhoon、米電力網に300日間潜伏

nosa

2025.03.13

3月13日：サイバーセキュリティ関連ニュース

中国のハッカーグループVolt Typhoon、米電力網に300日間潜伏

SecurityWeek – March 12, 2025

ICS／OTセキュリティ企業のDragosは12日、悪名高い中国の脅威アクターVolt Typhoonが米国の電力網に侵入した事例を報告するケーススタディを公開した。

そのケーススタディによると、標的にされたのはマサチューセッツ州のリトルトンおよびボックスボロに電力を供給する小規模公営企業Littleton Electric Light and Water Departments（LELWD）で、同社への侵害は2023年11月下旬に判明。さらに調査を行った結果、2023年2月から300日以上にわたってVolt Typhoonの侵入を許し、OTシステムからデータを盗まれていたことが確認されたという。

Doragosは約1年前に発表した年次レポートでもVolt Typhoonについて言及しており、当初Voltziteの名で追跡していた同グループがハッキングした組織から機微なOTデータを収集していると報告した。Volt Typhoonは2023年5月、米国の重要インフラを標的にしているとマイクロソフトが公表したことで存在が知られるようになり、その後は巧妙な手口や自らのボットネット、ゼロデイの悪用などによって多くの注目を集めている。

またDragosは、Volt TyphoonがLELWDのハッキングだけでなく、エネルギーシステムの空間配置に関する重要情報を含むGIS（地理情報システム）データを盗む事例に数多く関与していると指摘した。

Threat Report

APT

Flax Typhoon

Living-off-the-land

中国の「Typhoon」ハッカーグループ：Volt Typhoon、Flax Typhoon、Salt Typhoonの概要や注目ポイント

佐々山 Tacos

2025.01.07

APT

Flax Typhoon

Living-off-the-land

中国系ハッカーグループが複数カスタムバックドアやルートキットを使い、ジュニパーネットワークスのルーターを侵害

The Hacker News – Mar 12, 2025

Google傘下のセキュリティ企業Mandiantにより、UNC3886として追跡されている中国系サイバースパイグループが複数のカスタムバックドアを展開するキャンペーンが明らかになった。標的はサポートが終了したジュニパーネットワークスのMXルーターで、内部ネットワークインフラに焦点を合わせる同グループの能力の高さが際立っているという。

2024年半ばに確認された最新の活動では、過去にLiminal PandaやVelvet Antなど中国のハッキンググループによって使われたC言語ベースのバックドアTinyShellに基づくインプラントの使用が含まれると説明された。今回の調査で特定されたのは、それぞれ独自の機能を持つTinyShellベースのバックドア6種類（appid、to、irad、Impad、jdosd、oemd）。これらにはアクティブおよびパッシブなバックドア機能、ターゲットデバイスのログメカニズムを無効にする埋め込みスクリプトなど、さまざまなカスタム機能が備わっているようだ。

UNC3886はそのほかにも、ReptileやMedusaなどのルートキット、SSH認証をハイジャックしてSSH認証情報を取得するPITHOOK、アンチフォレンジック目的のGHOSTTOWNを活用していることがわかっている。

2022年9月に初めて文書化されたUNC3886は、エッジデバイスや仮想化技術をターゲットにする「非常に巧妙」なグループと評価されており、米国やアジアに拠点を置く防衛・技術・通信部門の各組織への侵入を最終目標としている。Mandiantは新たな攻撃で観測された活動について、これまでFortinetやIvanti、VMware各デバイスのゼロデイ脆弱性を悪用してネットワークに侵入し、リモートアクセスを維持してきた敵対者の技術が進化したことを意味すると指摘した。