Группировка Volt Typhoon, известная своими операциями против критической инфраструктуры, раскрыла новую тактику: использование скрытой сети захваченных устройств для проведения атак с применением уязвимостей нулевого дня. Согласно отчету The Hacker News, зафиксировано четыре подтвержденные кампании, где злоумышленники эксплуатировали ранее неизвестные уязвимости, оставаясь незамеченными благодаря сложной инфраструктуре прокси-серверов.
Механика атак и инфраструктура
Ключевой особенностью этих кампаний стало не просто использование zero-day, а способ их доставки и сокрытия следов. Volt Typhoon активно использует так называемые "свистящие поезда" (silent train) — цепочки скомпрометированных устройств, которые перенаправляют трафик, создавая иллюзию легитимного соединения. Это позволяет обходить традиционные системы обнаружения вторжений (IDS), которые ориентируются на аномалии в сетевом трафике.
| Параметр | Детали |
|---|---|
| Количество кампаний | 4 подтвержденных инцидента |
| Тип уязвимостей | Zero-day (ранее неизвестные) |
| Инфраструктура | Скрытая сеть захваченных IoT/Edge устройств |
| Цель | Критическая инфраструктура и телеком |
Почему это важно для безопасности
Использование zero-day в сочетании с инфраструктурой из захваченных устройств делает такие атаки крайне сложными для предотвращения. Традиционные сигнатурные методы защиты бесполезны против неизвестных уязвимостей, а репутационные блокировки IP-адресов не работают, так как трафик идет через легитимные, но скомпрометированные устройства. Это требует перехода к поведенческому анализу и сегментации сетей, чтобы ограничить горизонтальное перемещение злоумышленников.
Эксперты рекомендуют организациям, особенно в секторе критической инфраструктуры, пересмотреть подходы к управлению уязвимостями и внедрить более строгие политики сегментации сети, чтобы снизить риски от подобных многовекторных атак.
Источник: Thehackernews ↗