Volt Typhoon – IoT OT Security News

中国政府と Volt Typhoon：昨年 12月のジュネーブ秘密会談で中国当局が関与を示唆？

China admitted its role in Volt Typhoon cyberattacks on U.S. infrastructure

2025/04/13 SecurityAffairs — 米国当局者が行った中国サイドとの秘密会談で、Volt Typhoon オペレーションに関連する、米国インフラへのサイバー攻撃の実行が、暗に認められたと Wall Street Journal (WSJ) が報じている。同紙によると、2024年12月のジュネーブ首脳会談で、中国当局者は米国のインフラへの Volt Typhoon オペレーションに関連するサイバー攻撃を間接的に認めたという。この攻撃は、米国の台湾支援に関連していると報じられている。

Salt Typhoon 侵害：最初に発見されたのは政府のネットワーク内だった – CISA

Salt Typhoon breach was first detected on federal networks, CISA head says

2025/01/15 NextGov — 中国政府が支援するスパイ集団による、米国のテレコムなどへの広範囲にわたる侵入だが、最初に検知されたのは政府のシステム内である、1月14日 (水) に政府高官が述べている。Foundation for Defense of Democracies での討論会で、CISA 長官である Jen Easterly は、「Salt Typhoon と呼ばれるハッキング集団は、連邦政府のネットワークで最初に確認され、その後に法執行機関が仮想プライベート・サーバで正体を解明したことで、追跡のための手続きの請求が可能になった」と述べている。

TP-Link Router がバンされる？米政府が懸念する広大なシェアと北京からの影響

US Ban on TP-Link Routers More About Politics Than Exploitation Risk

2024/12/21 DarkReading — 米国での TP-Link 製品の販売禁止を、政府機関や議員たちが検討していると報じられている。そこから推測されるのは、いまの TP-Link はサイバー攻撃者に最も頻繁に悪用される脆弱性を持つ、ネットワーク・ベンダーのリストで上位にランクされているという状況である。しかし、それは事実ではない。この中国企業の製品は、消費者や中小企業に人気を博しており、CISA の KEV という既知の悪用脆弱性リストには、現時点で２件のセキュリティ問題が掲載されているに過ぎない。それに対して、Cisco は74件、Ivanti は 23件、D-Link は 20件という状況にある。

テレコムと政府と国民は Salt Typhoon に対抗できるのか？ End-to-End 暗号化通信の必要性

Governments, Telcos Ward Off China’s Hacking Typhoons

2024/12/11 DarkReading — 中国由来の Salt Typhoon グループからの侵害に対して、米国政府と８社の通信会社が、ネットワークの保護に苦戦している。それと並行して、他国における多くの通信会社も、APT の主標的にされている。それに先行するかたちで、2023年には、Salt Typhoonとの重複が疑われる中国由来のグループ Earth Estries が、APAC／中東／北アフリカ（MENA）地域、そして米国の通信会社を侵害している。

中国のサイバースパイ Volt Typhoon／APT31／APT41：５年間にわたる活動の詳細 – Sophos 調査

Pacific Rim: Sophos Exposes 5 Years of Chinese Cyber Espionage

2024/11/03 SecurityOnline — Sophos X-Ops の最新レポート “Pacific Rim” は、中国を拠点とする脅威グループを追跡し、インド太平洋地域の高価値インフラ／政府機関を、５年間にわたり標的としてきたキャンペーンを明らかにするものだ。これらの活動で用いられる戦術には、特注のマルウェアや、ステルス性の持続的機能だけではなく、高度な運用セキュリティなどがあるという。Sophos は、他のサイバーセキュリティ企業／法執行機関／政府機関との共同調査により、これらの攻撃を、Volt Typhoon／APT31／APT41 (Winnti) などの悪名高い国家支援グループと関連付けている。

Salt Typhoon という中国由来の脅威アクター：Verizon／AT&T などのブロードバンド・プロバイダーに侵入

China-linked group Salt Typhoon hacked US broadband providers and breached wiretap systems

2024/10/06 SecurityAffairs — Verizon／AT&T／Lumen Technologies などの米国のブロードバンド・プロバイダーに侵入した、中国由来の APT グループ Salt Typhoon (別名 FamousSparrow／GhostEmperor) が、米政府のためのデータ盗聴システムにアクセスした可能性があるという。このニュースを独占的に報じた Wall Street Journal によると、このセキュリティ侵害は、きわめて大きなリスクをもたらすものとなる。それにより、国家安全保障に影響が生じる可能性もあるため、侵害の内容は公表されていないと、WSJ は述べている。専門家たちは、この脅威アクターの目的は情報収集にあると捉えている。

Versa Director のゼロデイ CVE-2024-39717：中国 APT の Volt Typhoon による悪用を確認

Chinese APT Volt Typhoon Caught Exploiting Versa Networks SD-WAN Zero-Day

2024/08/26 SecurityWeek — 中国の APT である Volt Typhoon が、Versa Director サーバのゼロデイ脆弱性 CVE-2024-39717 を悪用し、クレデンシャルを乗っ取ってダウン・ストリームの顧客ネットワークに侵入していることが、Lumen Technologies の研究者たちにより明らかにされた。Versa Networks は、この脆弱性のゼロデイ悪用を確認し、Versa Director GUI のハッキングにより、影響を受けるデバイスにマルウェアを仕込むことが可能だと警告している。この脆弱性 CVE-2024-39717 は、8月23日の時点で、CISA の KEV カタログに登録されている。

D-Link NAS の脆弱性 CVE-2024-3273：EoL デバイスを狙う積極的な攻撃を観測

Hackers Actively Exploiting Critical D-Link NAS Vulnerability: 90,000+ Devices at Risk

2024/05/30 SecurityOnline — D-Link NAS の EOL (end-of-life) デバイス群に、深刻な脆弱性 CVE-2024-3273 が存在することが、サイバーセキュリティ企業 CYFIRMA からの緊急の警告により判明した。この脆弱性の CVSS 基本スコアは 9.8 であり、広範囲での悪用が懸念されている。

Ivanti 製品の脆弱性：中国系のハッカーが新たな TTP を開発している

Chinese Threat Actors Deploy New TTPs to Exploit Ivanti Vulnerabilities

2024/04/05 InfoSecurity — Ivanti の脆弱性を悪用した後に、横方向へと移動する新しいテクニックを、中国の脅威アクターたちが開発していることが、Mandiant の新しい調査により明らかになった。4月4日付けのブログ記事で Mandiant は、中国と関連があると疑われる５つのスパイ・グループの活動について詳述している。Ivanti の Connect Secure／Policy Secure ゲートウェイでは、脆弱性 CVE-2023-46805／CVE-2024-21887／CVE-2024-21893 の悪用が既に発見／報告されているが、この活度は、その後に続くものである。

Earth Krahang は中国由来の APT：ありきたりの OSS ツールで 48の政府機関を侵害

Chinese APT ‘Earth Krahang’ Compromises 48 Gov’t Orgs on 5 Continents

2024/03/19 DarkReading — これまで正体不明だった、中国のスパイ・グループが特定された。このフループは、標準的な TTP (Tactics／Techniques／Procedures) を用いながらも、23カ国の少なくとも 70組織への侵入に成功したが、そこには政府機関の 48組織も含まれていたという。Earth Krahang は、高レベルの軍事 APT ではないようだ。Trend Micro の研究者たちは新たなレポートの中で、中国共産党 (CCP) が契約した、民間のハッカー雇用オペレーションである、iSoon の一部である可能性を示唆している。

Fortinet EMS の RCE 脆弱性 CVE-2023-48788 が FIX：直ちにアップデートを！

Fortinet Warns of Yet Another Critical RCE Flaw

2024/03/15 DarkReading — Fortinet は、エンドポイント・デバイス管理ツールである FortiClient Enterprise Management Server (EMS) に存在する、リモート・コード実行 (RCE：Remote Code Execution) の深刻な脆弱性にパッチを適用した。この脆弱性 CVE-2023-48788 は、サーバのダイレクト接続ストレージ・コンポーネントにおける、SQL インジェクション・エラーに起因する。この脆弱性の悪用に成功した未認証の攻撃者は、特別に細工されたリクエストを使用して、影響を受けるシステム上の管理者権限で、任意のコードやコマンドを実行することが可能になる。

CISA／FBI 共同警告：SOHO ルーターへの Volt Typhoon 攻撃の対処を要請

CISA: Vendors must secure SOHO routers against Volt Typhoon attacks

2024/01/31 BleepingComputer — CISA が発した警告は、進行中の攻撃から機器のセキュリティを確保するよう、SOHO (small office/home office) ルーターの製造業者に求めるものだ。展開されている攻撃というのは、特に中国が支援するハッキング・グループ Volt Typhoon (別名：Bronze Silhouette) が、ルーターの乗っ取りを試みているというものだ。CISA／FBI による共同ガイダンスで、両機関がベンダーに求めているのは、設計／開発段階における SOHO ルーターの WMI (Web Management Interface) の脆弱性の解消だ。

Volt Typhoon は中国の APT：KV-botnet で SOHO ルーターや VPN 機器を攻撃？

Stealthy KV-botnet hijacks SOHO routers and VPN devices

2023/12/13 BleepingComputer — Volt Typhoon (Bronze Silhouette) という中国由来の APT ハッキング・グループは、遅くとも 2022年以降において、SOHO ルーターを標的とする攻撃するために、KV-botnet ボットネットを使用していると推定される。Volt Typhoon の手口は、主にルーター／ファイアウォール／VPN デバイスなどに対して、悪意のトラフィックをプロキシすることで、正規のトラフィックに紛れ込ませて検知を回避するというものだ。Microsoft と米国政府による共同レポートには、攻撃者たちは米国内の通信インフラを混乱させるための悪意のインフラを構築していると記されている。

Volt Typhoon という中国ハッカー：重要インフラを攻撃する手口が明らかになってきた

Chinese Hackers Using Never-Before-Seen Tactics for Critical Infrastructure Attacks

2023/06/26 TheHackerNews — 最近に発見され、Volt Typhoon と名付けられた、中国に支援される脅威アクターだが、遅くとも 2020年半ばから野放し状態で活動していたことが、CrowdStrike の調査により判明した。CrowdStrikeは、この脅威アクターを Vanguard Panda という名前で追跡している。同社は、「この脅威アクターは一貫して、イニシャル・アクセスのために ManageEngine Self-service Plus エクスプロイトを使用し、持続的なアクセスのためにカスタム Web シェルを使用し、横方向の移動のために Living-off-the-land (LotL) テクニックを使用していた」と説明している。

Fortinet の脆弱性 CVE-2023-27997 が悪用されている：Volt Typhoon が攻撃？

Fortinet: New FortiOS RCE bug “may have been exploited” in attacks

2023/06/12 BleepingComputer — 先週パッチが適用された FortiOS SSL VPN の深刻な脆弱性だが、政府機関／製造業／重要インフラ組織に影響を与える攻撃において、悪用された可能性があると、Fortinet が発表した。この脆弱性 CVE-2023-27997 (FG-IR-23-097) は、FortiOS および FortiProxy SSL-VPN におけるヒープバッファ・オーバーフローに起因し、悪意を持って細工されたリクエストを介して、認証されていない攻撃者にリモートコード実行 (RCE) を許すものだ。

米海軍グアムの IT インフラにハッカーが侵入：China 対 Five Eyes の情報戦が始まる？

US Navy hit by Chinese hacking campaign, report says

2023/05/27 SCMP — 中国のハッカーと疑われる人物が、緊張が高まる太平洋地域の通信を混乱させるために、広範なキャンペーンの一環として米海軍に侵入したと、サイバー・セキュリティ専門家たちは捉えているようだ。米海軍長官の Carlos Del Toro は、「Volt Typhoon という名の中国に支援されるハッキング・グループにより、米海軍が影響を受けたと説明し、政府／通信／製造／IT などの組織で警戒が必要だ」と、5月25日に CNBC に述べている。

Volt Typhoon という中国の APT：グアムの重要インフラへの攻撃を Microsoft が検知

Microsoft Catches Chinese .Gov Hackers in Guam Critical Infrastructure Orgs

2023/05/24 SecurityWeek — 中国に支援されるハッカーが、グアムの主要インフラ組織からデータを窃取していたことを、Microsoft が発見した。グアムで中国製のサイバースパイ・マルウェアが発見されたことは、将来に起こり得るかもしれない中国と台湾の軍事衝突において、この小さな島が重要な役割を果たすと考えられるため、大きな関心を呼んでいる。