Conheça os hackers chineses do ‘Typhoon’ que se preparam para a guerra

Dos riscos de cibersegurança que os Estados Unidos enfrentam hoje, poucos são maiores do que as potenciais capacidades de sabotagem apresentadas por hackers apoiados pela China, que altos funcionários dos EUA descreveram como uma “ameaça que definiu uma época”.

Nos últimos meses, autoridades de inteligência dos EUA disseram que hackers apoiados pelo governo chinês têm se infiltrado profundamente nas redes de infraestruturas críticas dos EUA, incluindo fornecedores de água, energia e transporte. O objetivo, dizem as autoridades, é estabelecer as bases para ataques cibernéticos potencialmente destrutivos no caso de um futuro conflito entre a China e os EUA, como por exemplo sobre uma possível invasão chinesa de Taiwan.

“Os hackers da China estão se posicionando na infraestrutura americana em preparação para causar estragos e causar danos no mundo real aos cidadãos e comunidades americanos, se ou quando a China decidir que chegou a hora de atacar”, disse o diretor do FBI, Christopher Wray, aos legisladores no início deste ano.

Desde então, o governo dos EUA e os seus aliados tomaram medidas contra a família “Typhoon” dos grupos de hackers chineses e publicaram novos detalhes sobre as ameaças que representam.

Em janeiro, os EUA interromperam o chamado “Volt Typhoon”, um grupo de hackers do governo da China encarregado de preparar o terreno para ataques cibernéticos destrutivos. Mais tarde, em Setembro, os federais sequestraram uma botnet gerida por outro grupo de hackers chinês chamado “Flax Typhoon”, que se disfarça como uma empresa privada em Pequim e cujo papel era ajudar a ocultar as atividades dos hackers do governo chinês. Desde então, surgiu um novo grupo de hackers apoiado pela China chamado “Salt Typhoon”, capaz de recolher informações sobre os americanos – e potenciais alvos da vigilância dos EUA – comprometendo os sistemas de escuta telefónica dos fornecedores de telefonia e Internet dos EUA.

Aqui está o que sabemos até agora sobre os grupos de hackers chineses que se preparam para a guerra.

Tufão Volt

O Volt Typhoon representa uma nova geração de grupos de hackers apoiados pela China; não visa mais apenas roubar segredos sensíveis dos EUA, mas sim preparar-se para perturbar a “capacidade de mobilização” dos militares dos EUA, de acordo com o diretor do FBI.

A Microsoft identificou o Volt Typhoon pela primeira vez em maio de 2023, descobrindo que os hackers tinham como alvo e comprometido equipamentos de rede, como roteadores, firewalls e VPNs, desde meados de 2021, como parte de um esforço contínuo e concertado para se infiltrar mais profundamente na infraestrutura crítica dos EUA. Na realidade, é provável que os hackers estivessem operando há muito mais tempo; potencialmente por até cinco anos.

O Volt Typhoon comprometeu milhares de dispositivos conectados à Internet nos meses seguintes ao relatório da Microsoft, explorando vulnerabilidades em dispositivos conectados à Internet que foram considerados “em fim de vida” e, como tal, não receberiam mais atualizações de segurança. Como tal, o grupo de hackers conseguiu posteriormente comprometer os ambientes de TI de vários setores de infraestruturas críticas, incluindo aviação, água, energia e transportes, pré-posicionando-se para ativar futuros ataques cibernéticos potencialmente perturbadores.

“Este ator não está realizando a coleta silenciosa de inteligência e o roubo de segredos que tem sido a norma nos EUA. Eles estão investigando infraestruturas críticas sensíveis para que possam interromper os principais serviços se, e quando, a ordem for derrubada”, disse John Hultquist, chefe analista da empresa de segurança Mandiant.

O governo dos EUA disse em janeiro que havia interrompido com sucesso uma botnet, usada pelo Volt Typhoon, composta por milhares de roteadores de redes domésticas e de pequenos escritórios sediados nos EUA, que o grupo de hackers chinês usou para ocultar sua atividade maliciosa destinada a atingir críticos dos EUA. infraestrutura. O FBI disse que conseguiu remover o malware dos roteadores sequestrados, cortando a conexão do grupo de hackers chinês com a botnet.

Tufão de linho

Flax Typhoon, divulgado pela primeira vez em um relatório da Microsoft de agosto de 2023, é outro grupo de hackers apoiado pela China que, segundo as autoridades, operava sob o disfarce de uma empresa de segurança cibernética de capital aberto com sede em Pequim. A empresa, Integrity Technology Group, reconheceu publicamente as suas ligações ao governo da China, segundo autoridades dos EUA.

Em Setembro, o governo dos EUA disse ter assumido o controlo de outra botnet, usada pelo Flax Typhoon, que aproveitou uma variante personalizada do infame malware Mirai, composto por centenas de milhares de dispositivos ligados à Internet.

Autoridades dos EUA disseram na época que o botnet controlado pelo Flax Typhoon foi usado para “conduzir atividades cibernéticas maliciosas disfarçadas de tráfego rotineiro da Internet a partir de dispositivos de consumidores infectados”. Os promotores disseram que o botnet administrado pelo Flax Typhoon permitiu que outros hackers apoiados pelo governo da China “invadissem redes nos EUA e em todo o mundo para roubar informações e manter nossa infraestrutura em risco”.

De acordo com o perfil da Microsoft sobre o grupo apoiado pelo governo, o Flax Typhoon está ativo desde meados de 2021, visando predominantemente “agências governamentais e organizações de educação, manufatura crítica e tecnologia da informação em Taiwan”. O Departamento de Justiça disse que corroborou as descobertas da Microsoft e que o Flax Typhoon também “atacou várias empresas norte-americanas e estrangeiras”.

Tufão de Sal

O mais recente – e potencialmente mais sinistro – grupo do exército cibernético apoiado pelo governo da China descoberto nos últimos meses é o Salt Typhoon.

Salt Typhoon chegou às manchetes em outubro por uma operação muito mais sofisticada. Conforme relatado pela primeira vez pelo Wall Street Journal, acredita-se que o grupo de hackers ligado à China tenha comprometido os sistemas de escuta telefônica de vários provedores de telecomunicações e internet dos EUA, incluindo AT&T, Lumen (anteriormente CenturyLink) e Verizon.

De acordo com um relatório, o Salt Typhoon pode ter obtido acesso a essas organizações usando roteadores Cisco comprometidos. Diz-se que o governo dos EUA está nos estágios iniciais de sua investigação.

Embora a escala dos compromissos dos provedores de Internet permaneça desconhecida, o Journal, citando fontes de segurança nacional, disse que a violação pode ser “potencialmente catastrófica”. Ao invadir sistemas que as agências de aplicação da lei utilizam para a recolha de dados de clientes autorizada pelo tribunal, o Salt Typhoon obteve potencialmente acesso a dados e sistemas que albergam grande parte dos pedidos do governo dos EUA – incluindo as identidades potenciais de alvos chineses da vigilância dos EUA.

Ainda não se sabe quando a violação ocorreu, mas o WSJ relata que os hackers podem ter mantido acesso aos sistemas de escuta telefônica dos provedores de Internet “por meses ou mais”.