Krajobraz cyberzagrożeń ewoluuje szybciej niż kiedykolwiek, a zaawansowane grupy hakerskie sponsorowane przez państwa (tzw. APT – Advanced Persistent Threat) nie ograniczają się już tylko do kradzieży własności intelektualnej. Ostatnie doniesienia wywiadowcze i raporty czołowych agencji bezpieczeństwa obnażyły skalę działania grupy Salt Typhoon. Ich wieloletnia kampania szpiegowska, wymierzona w infrastrukturę krytyczną i telekomunikacyjną, pokazuje dobitnie, że tradycyjne podejście do cyberbezpieczeństwa to dziś za mało.
Dla firm i instytucji to jasny sygnał: jeśli globalni dostawcy usług internetowych mogą paść ofiarą cichej, trwającej latami infiltracji, bezpieczeństwo własnej infrastruktury IT wymaga proaktywnego, wielowarstwowego podejścia.
Kim jest Salt Typhoon i jaka jest skala zagrożenia?
Salt Typhoon (grupa śledzona przez badaczy również pod nazwami GhostEmperor, Earth Estries, FamousSparrow czy UNC2286) to zaawansowany aktor powiązany z chińskim Ministerstwem Bezpieczeństwa Państwowego (MSS). Grupa ta od co najmniej 2019 roku prowadzi zakrojone na szeroką skalę operacje szpiegowskie, koncentrując się na dostawcach usług telekomunikacyjnych (ISP), sektorze rządowym, obronnym oraz infrastrukturze krytycznej.
Rozmach ich działań jest bezprecedensowy. Ataki Salt Typhoon dotknęły ponad 200 organizacji w przeszło 80 krajach, umożliwiając napastnikom dostęp m.in. do systemów podsłuchowych używanych przez organy ścigania (CALEA) oraz do metadanych milionów użytkowników. W przeciwieństwie do grupy Volt Typhoon, która skupia się na prepozycjonowaniu do ewentualnych działań destrukcyjnych (sabotażu), Salt Typhoon stawia na ciche, wieloletnie pozyskiwanie informacji wywiadowczych (szpiegostwo i kontrwywiad).
Anatomia ataku: Jak działają hakerzy Salt Typhoon?
Eksperci ds. cyberbezpieczeństwa zwracają uwagę na niezwykły pragmatyzm i wyrafinowanie techniczne grupy. Analiza ich taktyk (TTPs) ujawnia wzorce, na które musi uważać każdy nowoczesny dział IT:
1. Wykorzystywanie znanych podatności (Brak zero-dayów) Co zaskakujące, grupa rzadko korzysta z nieznanych luk typu zero-day. Zamiast tego bezlitośnie wykorzystuje publicznie znane, lecz niezałatane podatności (CVE) w urządzeniach brzegowych sieci – routerach, zaporach sieciowych i bramach VPN. Do ich ulubionych wektorów wejścia należą m.in. luki w produktach Ivanti (CVE-2024-21887), Palo Alto Networks (CVE-2024-3400) czy Cisco IOS XE (CVE-2023-20198 i CVE-2023-20273).
2. Ukrywanie się w legalnym ruchu (Living-off-the-Land) Po uzyskaniu dostępu, Salt Typhoon opiera się na technikach „Living-off-the-Land” (LOTL). Oznacza to, że zamiast instalować hałaśliwe złośliwe oprogramowanie, hakerzy używają legalnych, wbudowanych narzędzi administracyjnych (takich jak PowerShell, WMI czy PsExec), aby przemieszczać się po sieci.
3. Mistrzowie głębokiej persystencji Atakujący potrafią modyfikować konfiguracje routerów, zmieniać listy kontroli dostępu (ACL) i otwierać niestandardowe porty (np. SSH na portach takich jak 22×22). Niezwykle zaawansowanym zabiegiem jest wykorzystywanie natywnych kontenerów Linux, takich jak Cisco Guest Shell, do uruchamiania złośliwych skryptów bezpośrednio na urządzeniach sieciowych, co pozwala im uniknąć wykrycia przez tradycyjne systemy bezpieczeństwa końcowego. Dodatkowo wykorzystują zaawansowane rootkity działające na poziomie jądra systemu, takie jak Demodex.
4. Kradzież poświadczeń i manipulacja ruchem Aby ułatwić sobie ruch boczny (lateral movement), hakerzy przejmują pakiety sieciowe (PCAP) na skompromitowanych routerach, polując na ruch TACACS+ i RADIUS zawierający dane uwierzytelniające administratorów sieci.
Ochrona przed atakami APT: Czego uczy nas przypadek Salt Typhoon?
Złożoność kampanii takich jak Salt Typhoon udowadnia, że klasyczne zapory sieciowe i programy antywirusowe nie są w stanie zatrzymać zaawansowanego przeciwnika. Zbudowanie odpornej architektury wymaga profesjonalnego podejścia i wdrożenia konkretnych usług z zakresu cyberbezpieczeństwa.
Jak zatem skutecznie chronić firmową infrastrukturę?
- Rygorystyczne zarządzanie podatnościami (Vulnerability Management): Ponieważ większość włamań Salt Typhoon rozpoczynała się od znanych luk, regularne skanowanie podatności i natychmiastowe łatanie urządzeń wystawionych na świat (Internet-facing) jest absolutną koniecznością. Jeśli proces ten jest w firmie trudny do utrzymania, warto powierzyć go zewnętrznym ekspertom.
- Segmentacja sieci i model Zero Trust: Infrastruktura zarządzająca urządzeniami sieciowymi powinna być całkowicie odizolowana (tzw. out-of-band management). Wdrażanie architektury Zero Trust pozwala upewnić się, że nawet po przełamaniu zabezpieczeń urządzenia brzegowego, haker nie będzie miał swobodnej drogi do najważniejszych zasobów firmy.
- Zaawansowane logowanie i monitoring (usługi SOC / SIEM): Ślady działania Salt Typhoon można wykryć, analizując m.in. nieoczekiwane zmiany w tunelach (GRE/IPsec), modyfikacje konfiguracji AAA czy próby wyłączania mechanizmów logowania. Wymaga to jednak scentralizowanego systemu zbierania logów oraz zespołu czuwającego w trybie 24/7 (Security Operations Center).
- Proaktywne łowy na zagrożenia (Threat Hunting): Narzędzia typu EDR/XDR muszą być wsparte aktywnym poszukiwaniem anomalii przez analityków bezpieczeństwa. Ponieważ atakujący z Salt Typhoon unikają złośliwych binariów na rzecz legalnych poleceń (np. nietypowe użycie wmic.exe lub PowerShell), tylko wykwalifikowany zespół Threat Huntingowy jest w stanie odróżnić rutynowe działania administratora od wyrafinowanego ataku.
Profesjonalne wsparcie IT to dziś konieczność
Opóźnienia w łataniu kluczowych systemów, brak widoczności w ruchu na poziomie routerów i słabe zarządzanie tożsamością to otwarte drzwi dla zaawansowanych grup przestępczych. Bez względu na to, czy Twoja firma działa w sektorze finansowym, infrastruktury krytycznej, e-commerce, czy usługowym – bezpieczeństwo łańcucha dostaw i ochrony danych powinno być priorytetem zarządu.
Jako firma specjalizująca się w kompleksowych usługach cyberbezpieczeństwa, pomagamy organizacjom przygotować się na najtrudniejsze scenariusze. Oferujemy zaawansowane audyty bezpieczeństwa IT, testy penetracyjne, zarządzanie podatnościami oraz ciągły monitoring.
Nie pozwól, aby Twoja infrastruktura stała się ślepym punktem. Skontaktuj się z naszym zespołem ekspertów i sprawdź, jak możemy wzmocnić odporność Twojej organizacji na ataki klasy APT. Zabezpiecz swoją sieć, zanim inni zrobią z niej użytek.