Китайские хакеры Volt Typhoon почти год скрывались в электросетях США

Недавно раскрытая кибератака выявила тревожную реальность: китайская государственная хакерская группа, известная как Volt Typhoon, тайно проникла в сеть американской электроэнергетической компании и оставалась незамеченной более 300 дней. Атака, нацеленная на Littleton Electric Light and Water Departments (LELWD) в Массачусетсе, подчеркивает растущую угрозу для критической инфраструктуры США.

Вторжение Volt Typhoon: 300-дневная операция по кибершпионажу

По данным компании Dragos, занимающейся безопасностью ICS/OT, Volt Typhoon получила доступ к сети LELWD в феврале 2023 года. Их присутствие оставалось незамеченным до ноября 2023 года, когда Dragos обнаружила вторжение во время внедрения своих решений безопасности на предприятии. Это открытие привело к быстрому развертыванию защитных мер Dragos для смягчения последствий нарушения.

Volt Typhoon, также известный как Voltzite, был впервые публично идентифицирован в мае 2023 года компанией Microsoft, которая связала группу с китайским правительством. С тех пор группа приобрела репутацию за свои весьма сложные кампании по кибершпионажу , нацеленные на критическую инфраструктуру США.

Чего добивались хакеры?

В отличие от типичных киберпреступных групп, которые нацелены на вымогательство или финансовую выгоду, деятельность Volt Typhoon указывает на стратегическую, долгосрочную цель. По словам Драгоса, хакеры:

• Поддерживается долгосрочный доступ к сети эксплуатационных технологий (OT) коммунальной компании, которая контролирует физическую инфраструктуру.
• Украдены конфиденциальные данные, связанные с ОТ , включая эксплуатационные процедуры и схемы систем.
• Извлеченные данные географической информационной системы (ГИС) , содержащие критически важную информацию о пространственной компоновке энергетической сети.

Этот тип разведданных может позволить проводить будущие киберфизические атаки, в ходе которых хакеры не только удаленно выводят из строя системы, но и точно знают, на что нацеливаться для нанесения максимального ущерба.

Почему это является серьезной проблемой безопасности?

Драгос предупредил, что хотя Volt Typhoon пока не замечен в активном нарушении работы промышленных систем управления (ICS), их постоянный доступ и утечка данных сигнализируют о потенциальной подготовке к будущим атакам.

ICS Cyber Kill Chain классифицирует атаки на несколько этапов. Пока Volt Typhoon, похоже, находится на этапе 1, который включает разведку и кражу данных. Однако, если они перейдут на этап 2, они смогут разрабатывать и тестировать целевые атаки на американские электросети, системы водоснабжения или другую критическую инфраструктуру.

Стратегия кибервойны Китая: закладывает ли она основу для будущих атак?

Этот инцидент вписывается в более широкую схему китайского кибершпионажа, нацеленного на инфраструктуру США. Эксперты по безопасности считают, что такие группы, как Volt Typhoon, не просто ведут наблюдение, но и закладывают основу для потенциальных будущих конфликтов.

Проникнув в критические системы и составив план действий на годы вперед, Китай может подготовиться к запуску разрушительных кибератак в случае эскалации геополитической напряженности. Это согласуется с предыдущими предупреждениями американских разведывательных служб, которые предупреждали, что Китай активно исследует американскую инфраструктуру на предмет уязвимостей.

Необходимость усиления безопасности ОТ

Инцидент LELWD стал тревожным сигналом для всех поставщиков коммунальных услуг и критической инфраструктуры. Многие небольшие коммунальные службы не обладают ресурсами кибербезопасности крупных организаций, что делает их привлекательными целями для хакеров национального масштаба.

Исследование случая Драгоса подчеркивает важность мониторинга в реальном времени, сегментации сети и обнаружения вторжений в защите сред ОТ. Без этих мер защиты хакеры могут оставаться незамеченными в течение месяцев — или даже лет — собирая разведданные и готовясь к потенциальной кибервойне.

Растущая угроза, которую нельзя игнорировать

Атака Volt Typhoon на LELWD доказывает, что хакеры национального масштаба уже проникли в критически важную инфраструктуру США, не просто проверяя средства защиты, но и активно собирая разведданные для потенциальных будущих атак.

В связи с ростом геополитической напряженности и появлением киберугроз США должны уделить первоочередное внимание укреплению своей киберзащиты, пока не стало слишком поздно.