Salt Typhoon ist eine Advanced Persistent Threat (APT)-Gruppe, die für eine Reihe von Sicherheitsverletzungen verantwortlich ist, die auf die Infrastruktur und Regierungsbehörden der Vereinigten Staaten abzielten.
Salt Typhoon ist unter vielen Namen bekannt, je nachdem, auf welchen Sicherheitsanbieter Bezug genommen wird – Ghost Emperor von Kaspersky, FamousSparrow von ESET, Earth Estrie von Trend Micro, und UNC2286 von Mandiant, um nur einige zu nennen.
Es gibt erhebliche Beweise dafür, dass die Gruppe, die angeblich vom chinesischen Ministerium für Staatssicherheit (MSS) unterstützt wird, aus mehreren unterschiedlichen Operationsteams besteht, die jeweils für verschiedene Opfersektoren und operative Verantwortlichkeiten zuständig sind. Dies weist auf einen hohen Grad an Organisation und Reife hin.
Es ist wichtig, dass Organisationen verstehen, wie die Bedrohungsgruppe operiert und welche Auswirkungen sie in letzter Zeit hatte, aus mehreren Gründen, darunter:
Lesen Sie weiter, um mehr über die aktuellen Aktivitäten der Gruppe, erfolgreiche Angriffe und Strategien zum Schutz von Firmendaten zu erfahren.
Die Gruppe existiert wahrscheinlich schon seit einiger Zeit als Ableger der von der VR China staatlich geförderten offensiven Cyberoperationen wie Volt Typhoon und zeigt dabei ähnliche Taktiken, Techniken und Verfahren (TTPs).
Es wird angenommen, dass die Abspaltung der Gruppe seit August 2019 in irgendeiner Weise tätig ist und versucht, hochrangige Einzelpersonen wie Präsident Donald Trump zu kompromittieren.
Seitdem wurden Salt Typhoon mehrere Sicherheitsverletzungen zugeschrieben – zuletzt die Kompromittierung mehrerer US-Telekommunikationsnetze. Vor diesem Angriff hat die CISA klargestellt, dass ihre Bedrohungsjäger die Gruppe in mehreren Netzwerken der US-Bundesregierung entdeckt haben.
Es wird angenommen, dass die Gruppe im vergangenen Jahr, während die Kompromittierung noch aktiv war, heimlich Informationen wie Geolokalisierung von Hunderten von Geräten im Raum Washington D.C. gesammelt hat.
Darüber hinaus verschaffte dieser Verstoß Salt Typhoon einen beispiellosen Zugriff auf sensitive Daten über die Telekommunikationsinfrastruktur vieler großer Anbieter wie Verizon, AT&T und mindestens sieben weitere.
Im Januar 2025 verhängte das Office of Foreign Assets Control (OFAC) des US-Finanzministeriums Sanktionen gegen Sichuan Juxinhe Network Technology, ein in Shanghai ansässiges Cyber-Security-Unternehmen, das angeblich direkt an Salt Typhoon und damit verbundenen Verstößen beteiligt war. Diese Arten von Sanktionen gegen chinesische Unternehmen sind der US-Regierung nicht neu – ein weiterer mit China verbundener Akteur, die Integrity Technology Group, soll seit 2021 ein Botnetz mit über 260.000 Geräten verwaltet haben, dessen Opfer sich über mehrere Kontinente erstrecken.
Salt Typhoon hat sich vor allem durch seine Viktimologie hervorgetan, die weit verbreitete Angriffe auf US-Regierungsstellen, Infrastruktur und politische Führungspersönlichkeiten umfasst – einige Beispiele hierfür sind:
Das gezielte Angreifen politischer Kandidaten umfasste spezifische Versuche, böswillig auf deren Mobilgeräte zuzugreifen, um wahrscheinlich zusätzliche Informationen über sensitive Daten auf den Telefonen zu erlangen, wie Nachrichten, E-Mails, Dateien oder andere Informationen.
Obwohl nur wenige technische Daten über die funktionalen Interna ihrer Angriffe auf die Telekommunikationsinfrastruktur bekannt sind, hat Salt Typhoon wahrscheinlich zahlreiche Ziele verfolgt, darunter die Datenexfiltration, die Überwachung priorisierter Ziele und allgemeine Netzwerkaufklärungsaktivitäten, nachdem sie Zugang zu solchen Netzwerken erlangt hatten. Eine bekannte Aktivität ist der Einsatz eines benutzerdefinierten Backdoor-Dienstprogramms namens „JumbledPath“, das für die Überwachung des Netzwerkverkehrs verantwortlich war, um an kritischen Netzwerkknotenpunkten sensitive Daten abzufangen.
Salt Typhoon wurde hauptsächlich bei Sicherheitsverletzungen im Zusammenhang mit Telekommunikations-, Regierungs- und Gastgewerbeanbietern beobachtet. Es ist sehr wahrscheinlich, dass auch andere Sektoren, die Informationen enthalten, die für die MSS von Interesse sind, von der Gruppe angegriffen werden.
Sie sind auch dafür bekannt, politische Ziele ins Visier zu nehmen, darunter einzelne Kandidaten und voraussichtliche Wahlkampfbüros.
Die Analyse der genauen Techniken, die von Salt Typhoon sowohl vor als auch nach der Kompromittierung eingesetzt wurden, ist spärlich – wahrscheinlich, um intern ein starkes Wissen über Angreifer für Unternehmen zu bewahren, die sich mit ihren Sicherheitsverletzungen befasst haben. Dies ist bei APTs üblich, um sicherzustellen, dass der Gegner keinen genauen Überblick darüber hat, was die Cyber-Verteidiger „wissen“.
Die unten aufgeführten TTPs sind häufig mit dieser Bedrohungsgruppe assoziiert und sollten für eine umfassende Suche in Netzwerken verwendet werden, bei denen der Verdacht auf eine Kompromittierung besteht.
TTPs umfassen (sind aber nicht beschränkt auf):
Darüber hinaus haben Blue Teams beobachtet, dass die Gruppe die unten aufgeführten Schwachstellen in öffentlich zugänglichen Geräten oder Anwendungen ausnutzt:
Sobald die Gruppe in einem Netzwerk Fuß gefasst hat, haben Forscher beobachtet, dass die Gruppe die folgenden Arten von Informationsgewinnungs- und Aufklärungstechniken einsetzt:
Der Schutz von sensitiven Daten vor Bedrohungen wie Salt Typhoon ist von entscheidender Bedeutung, insbesondere da die Gruppe den Schwerpunkt auf Unternehmensdatendiebstahl und staatliche Spionageabwehr legt.
Unsere defensiven Empfehlungen umfassen:
Bedrohungsakteure wie Salt Typhoon zielen auf kritische Daten in den Netzwerken ihrer Opfer ab. Die Fähigkeit, historische Datenzugriffe zu erkennen und zu auditieren, ist von entscheidender Bedeutung für die Identifizierung dieser Bedrohungsarten.
Wenn Ihre Organisation keinen Einblick in die Daten hat, wird es nahezu unmöglich sein, anomalen Zugriff oder Exfiltration zu identifizieren – hier spielt Varonis eine Schlüsselrolle in Ihrem Sicherheits-Stack.
Das Exfiltrieren kritischer Daten ist mit Abstand die am häufigsten von Gruppen wie Salt Typhoon eingesetzte Taktik. Das Fehlen dieser Audit-Funktion versetzt Organisationen in eine prekäre Lage, wenn es darum geht, sowohl grundlegende als auch erweiterte Bedrohungen für Daten zu erkennen.
Durch den Einsatz von User and Entity Behavior Analytics (UEBA) über mehrere Datenströme hinweg, wie z. B. File Shares, Active Directory, DNS, Proxy und mehr, ist Varonis hervorragend positioniert, um anomale Zugriffe und Datendiebstahl zu identifizieren und zu melden, was dazu beiträgt, die Kronjuwelen Ihres Unternehmens umfassender zu schützen.
Matt Radolec und David Gibson von Varonis berichten über die Aktivitäten von Salt Typhoon in „State of Cybercrime“, einer Videoserie, die die neuesten Nachrichten zur Cyberkriminalität behandelt. Genießen Sie die untenstehenden Episoden, um mehr über Salt Typhoon zu erfahren, und nehmen Sie an einer Live-Show teil.
Matt und David berichten über den Aufstieg von Salt Typhoon und andere Nachrichten zur Cyberkriminalität.
Matt und David geben ein Update zur jüngsten Aktivität von Salt Typhoon.