Salt Typhoon
Salt Typhoontambién conocido por alias como Earth Estries, FamousSparrow, GhostEmperor y UNC2286, es un grupo de amenazas persistentes avanzadas (APT) especializado en actividades de ciberespionaje.
El origen de Salt Typhoon
Desde al menos 2020, este grupo ha ejecutado campañas de ciberespionaje muy sofisticadas a escala mundial. Conocido por su avanzado arsenal malware y la explotación de vulnerabilidades zero-day , Salt Typhoon ha ampliado su alcance para incluir nuevas industrias, geografías ampliadas y tácticas más agresivas en 2023. El arsenal y las operaciones de este grupo APT demuestran su compromiso con el sigilo, la persistencia y el compromiso generalizado.
Países destinatarios de Salt Typhoon
Desde 2023, Salt Typhoon ha afectado a más de 20 organizaciones de todo el mundo. Los países afectados incluyen:
- Asia-Pacífico: Afganistán, Filipinas, India, Indonesia, Malasia, Pakistán, Taiwán, Tailandia y Vietnam.
- África: Eswatini, Sudáfrica.
- América: Brasil, Estados Unidos.
Fuente de la imagen: Trend Micro
Industrias a las que se dirige Salt Typhoon
Salt Typhoon se dirige ahora a un abanico más amplio de sectores, como la tecnología, la consultoría, la química, el transporte, los organismos públicos y las organizaciones sin ánimo de lucro, lo que refleja un enfoque muy oportunista y estratégico.
Víctimas objetivo de Salt Typhoon
Las víctimas suelen ser organismos gubernamentales y empresas tecnológicas dedicadas a la innovación, la defensa y las infraestructuras nacionales críticas. Una vez comprometidas, las organizaciones objetivo suelen enfrentarse a tácticas avanzadas de movimiento lateral.
Salt TyphoonMétodo de ataque
Compromete cuentas administrativas mediante el robo de credenciales o la infección demalware , a menudo explotando SMB o Windows Management Instrumentation (WMI).
Explota vulnerabilidades en sistemas ampliamente utilizados, incluyendo:
- Ivanti Connect Secure (CVE-2023-46805, CVE-2024-21887)
- Fortinet FortiClient EMS (CVE-2023-48788)
- Cortafuegos de Sophos (CVE-2022-3236)
- Microsoft Exchange (vulnerabilidades de ProxyLogon: CVE-2021-26855, etc.)
Utiliza herramientas como la carga lateral de DLL y la manipulación del registro para obtener acceso a nivel del sistema.
Emplea técnicas de ofuscación, como el backdoor GhostSpider y tácticas de "vivir de la vida" con herramientas como WMIC.exe y PsExec, ataques de downgrade de PowerShell y técnicas de enmascaramiento para eludir la detección.
Despliega robos como SnappyBee (Deed RAT) o robos personalizados como TrillClient para obtener credenciales y datos del navegador.
Realiza el descubrimiento de la confianza en el dominio y el reconocimiento de la red para mapear el entorno de la víctima.
Propaga malware utilizando comandos SMB y WMI, desplegando backdoors a través de múltiples máquinas.
Se centra en archivos confidenciales (por ejemplo, PDF) y utiliza técnicas avanzadas como SnappyBee para robar credenciales y testigos de sesión.
Despliega cargas maliciosas a través de Cobalt Strike, puertas traseras personalizadas (por ejemplo, Zingdoor o GhostSpider) y HemiGate.
Transfiere los datos recopilados a servidores o servicios externos como AnonFiles, File.io y repositorios públicos.
Garantiza la persistencia y elimina las pruebas de infección limpiando el sitio malware existente después de cada ronda operativa.
Compromete cuentas administrativas mediante el robo de credenciales o la infección demalware , a menudo explotando SMB o Windows Management Instrumentation (WMI).
Explota vulnerabilidades en sistemas ampliamente utilizados, incluyendo:
- Ivanti Connect Secure (CVE-2023-46805, CVE-2024-21887)
- Fortinet FortiClient EMS (CVE-2023-48788)
- Cortafuegos de Sophos (CVE-2022-3236)
- Microsoft Exchange (vulnerabilidades de ProxyLogon: CVE-2021-26855, etc.)
Utiliza herramientas como la carga lateral de DLL y la manipulación del registro para obtener acceso a nivel del sistema.
Emplea técnicas de ofuscación, como el backdoor GhostSpider y tácticas de "vivir de la vida" con herramientas como WMIC.exe y PsExec, ataques de downgrade de PowerShell y técnicas de enmascaramiento para eludir la detección.
Despliega robos como SnappyBee (Deed RAT) o robos personalizados como TrillClient para obtener credenciales y datos del navegador.
Realiza el descubrimiento de la confianza en el dominio y el reconocimiento de la red para mapear el entorno de la víctima.
Propaga malware utilizando comandos SMB y WMI, desplegando backdoors a través de múltiples máquinas.
Se centra en archivos confidenciales (por ejemplo, PDF) y utiliza técnicas avanzadas como SnappyBee para robar credenciales y testigos de sesión.
Despliega cargas maliciosas a través de Cobalt Strike, puertas traseras personalizadas (por ejemplo, Zingdoor o GhostSpider) y HemiGate.
Transfiere los datos recopilados a servidores o servicios externos como AnonFiles, File.io y repositorios públicos.
Garantiza la persistencia y elimina las pruebas de infección limpiando el sitio malware existente después de cada ronda operativa.
TTPs utilizados por Salt Typhoon
Cómo detectar Salt Typhoon con Vectra AI
Lista de las Detecciones disponibles en la Plataforma Vectra AI que indicarían un ciberataque.
Preguntas frecuentes
¿Cuáles son las industrias más afectadas por Salt Typhoon?
Salt Typhoon se dirige a los sectores tecnológico, de consultoría, químico, de transporte, gubernamental y no lucrativo.
¿Cuáles son las herramientas más recientes utilizadas por Salt Typhoon?
Las nuevas incorporaciones incluyen el backdoor GhostSpider, el ladrón SnappyBee y el rootkit Demodex.
¿Cómo mantiene Salt Typhoon el sigilo?
Utilizan técnicas de "vivir de la tierra" y rootkits avanzados como Demodex.
¿Qué vulnerabilidades aprovechan?
Entre los exploits más recientes figuran vulnerabilidades en Ivanti Connect Secure, Sophos Firewall y Microsoft Exchange.
¿Cómo exfiltra datos Salt Typhoon ?
Los datos robados se suben a AnonFiles, File.io, o se envían a través de correos electrónicos cifrados.
¿Están vinculados a otros grupos?
Existen solapamientos con APT chinas como FamousSparrow y otras entidades vinculadas al gobierno.
¿Cómo pueden las organizaciones detectar su actividad?
Supervise los comandos PowerShell inusuales, la carga lateral de DLL y las balizas deCobalt Strike .
¿Cuál es la amenaza para la cadena de suministro?
Salt Typhoon explota máquinas contratistas para infiltrarse en múltiples organizaciones a través de relaciones de confianza en la cadena de suministro.
¿Qué medidas mitigan los ataques?
Despliegue herramientas de detección de puntos finales, aplique la gestión de parches y supervise el tráfico en busca de patrones de C&C conocidos.
¿Cuál es la respuesta internacional?
La colaboración en el intercambio de inteligencia y las estrategias unificadas son esenciales para mitigar la creciente amenaza.