Chinese Volt Typhoon-hackers hielden zich bijna een jaar lang schuil in het Amerikaanse elektriciteitsnet

Een onlangs onthulde cyberaanval heeft een verontrustende realiteit blootgelegd: een door de Chinese staat gesponsorde hackersgroep, bekend als Volt Typhoon, infiltreerde in het geheim het netwerk van een Amerikaanse elektriciteitsmaatschappij en bleef meer dan 300 dagen onopgemerkt. De aanval, gericht op de Littleton Electric Light and Water Departments (LELWD) in Massachusetts, benadrukt de groeiende dreiging voor kritieke infrastructuur in de VS.

De Volt Typhoon-inbraak: een cyber-spionageoperatie van 300 dagen

Volgens ICS/OT-beveiligingsbedrijf Dragos kreeg Volt Typhoon in februari 2023 toegang tot het netwerk van LELWD. Hun aanwezigheid bleef onopgemerkt tot november 2023, toen Dragos de inbraak ontdekte tijdens de implementatie van zijn beveiligingsoplossingen bij het nutsbedrijf. Deze ontdekking leidde tot een snelle inzet van Dragos' verdedigingen om de inbreuk te beperken.

Volt Typhoon, ook bekend als Voltzite, werd voor het eerst publiekelijk geïdentificeerd in mei 2023 door Microsoft, dat de groep in verband bracht met de Chinese overheid. Sindsdien heeft de groep een reputatie opgebouwd vanwege zijn zeer geavanceerde cyberespionagecampagnes , gericht op kritieke infrastructuur in de VS.

Wat wilden de hackers?

In tegenstelling tot typische cybercriminele groepen die streven naar ransomware of financieel gewin, duiden de activiteiten van Volt Typhoon op een strategische, lange termijn doelstelling. Volgens Dragos, de hackers:

• Behield langdurige toegang tot het operationele technologienetwerk (OT) van het nutsbedrijf, dat de fysieke infrastructuur beheert.
• Gevoelige OT-gerelateerde gegevens gestolen , waaronder operationele procedures en systeemindelingen.
• Geëxfiltreerde geografische informatiesysteem (GIS)-gegevens , die cruciale details bevatten over de ruimtelijke indeling van het energienetwerk.

Dit soort intelligentie kan in de toekomst cyber-fysieke aanvallen mogelijk maken, waarbij hackers niet alleen systemen op afstand kunnen verstoren, maar ook precies weten waar ze maximale schade kunnen aanrichten.

Waarom is dit een groot veiligheidsprobleem?

Dragos waarschuwde dat er nog geen gevallen zijn waargenomen waarin Volt Typhoon industriële controlesystemen (ICS) actief verstoort, maar dat de aanhoudende toegang tot en het lekken van gegevens erop wijzen dat er voorbereidingen zijn getroffen voor toekomstige aanvallen.

De ICS Cyber Kill Chain classificeert aanvallen in meerdere fasen. Tot nu toe lijkt Volt Typhoon in fase 1 te zitten, wat verkenning en datadiefstal inhoudt. Als ze echter doorstoten naar fase 2, kunnen ze gerichte aanvallen op Amerikaanse elektriciteitsnetten, watersystemen of andere kritieke infrastructuur ontwikkelen en testen.

De cyberoorlogstrategie van China: de basis leggen voor toekomstige aanvallen?

Dit incident past in een breder patroon van Chinese cyberespionage gericht op Amerikaanse infrastructuur. Veiligheidsexperts geloven dat groepen als Volt Typhoon niet alleen toezicht houden, maar ook de basis leggen voor mogelijke toekomstige conflicten.

Door jaren van tevoren kritieke systemen te infiltreren en in kaart te brengen, zou China zichzelf kunnen positioneren om verwoestende cyberaanvallen uit te voeren in het geval van escalerende geopolitieke spanningen. Dit komt overeen met eerdere waarschuwingen van Amerikaanse inlichtingendiensten, die waarschuwden dat China actief de Amerikaanse infrastructuur onderzoekt op kwetsbaarheden.

De noodzaak van sterkere OT-beveiliging

Het LELWD-incident dient als een wake-upcall voor alle nutsbedrijven en aanbieders van kritieke infrastructuur. Veel kleinere openbare nutsbedrijven missen de cybersecurity-middelen van grotere organisaties, waardoor ze aantrekkelijke doelwitten zijn voor hackers van nationale staten.

Dragos' case study benadrukt het belang van realtime monitoring, netwerksegmentatie en intrusiedetectie bij het beschermen van OT-omgevingen. Zonder deze verdedigingen kunnen hackers maandenlang onopgemerkt blijven, of zelfs jarenlang, terwijl ze inlichtingen verzamelen en zich voorbereiden op mogelijke cyberoorlogvoering.

Een groeiende bedreiging die niet genegeerd kan worden

De Volt Typhoon-aanval op LELWD bewijst dat hackers van nationale overheden zich al in de kritieke infrastructuur van de VS bevinden. Ze testen niet alleen de verdediging, maar verzamelen ook actief informatie voor mogelijke toekomstige aanvallen.

Nu de geopolitieke spanningen toenemen en cyberdreigingen toenemen, moet de VS prioriteit geven aan het versterken van de cyberdefensie, voordat het te laat is.