Salt Typhoon angriber telebranchen

Salt Typhoon udnytter router-sårbarheder til angreb på telesektoren

En kinesisk-støttet cyberspionagegruppe, kendt som Salt Typhoon, udnytter aktivt sårbarheder i edge-netværksenheder for at infiltrere teleselskaber. Både canadiske og amerikanske udbydere er blandt de bekræftede mål. Kampagnen understreger en voksende tendens, hvor trusselsaktører udnytter routerfejl som adgangsvej til kritisk og værdifuld infrastruktur.

Fra edge-enheder til spionage

Ifølge en fælles meddelelse fra FBI, CISA og det canadiske center for cybersikkerhed har Salt Typhoon – også kendt som BRONZE STARLIGHT eller APT41 – udnyttet kendte sårbarheder i Cisco-routere til at få uautoriseret adgang. Når først gruppen er inde i netværket, installerer de specialudviklet malware og etablerer vedvarende adgang. Det giver dem mulighed for at opsnappe følsomme data og overvåge intern kommunikation over længere tid.

I modsætning til økonomisk motiverede hackergrupper arbejder Salt Typhoon med stor diskretion. De undgår ransomware og fokuserer i stedet på målrettet efterretningsindsamling. Deres fremgangsmåde peger tydeligt på et mål om at bevare langvarig og uset adgang til kritisk infrastruktur.

Vil du forstå mere om, hvorfor grupper som Salt Typhoon agerer på denne måde, kan du læse mere om statssponsoreret hacking her.

Cisco-routere under angreb

En af de sårbarheder Salt Typhoon udnytter, er CVE-2023-20082 – en kritisk fejl, der rammer ældre Cisco-routere med IOS XE-operativsystemet. Selvom Cisco udgav en sikkerhedsopdatering i 2023, er mange enheder stadig forældede og ikke blevet patch’et, hvilket gør det nemt for hackere at kompromittere dem.

Sikkerhedsforskere har observeret, at gruppen bruger disse udsatte routere som et indgangspunkt. Herfra bevæger de sig videre ind i organisationens interne netværk. Fordi edge-enheder ofte ikke er dækket af traditionelle endpoint-sikkerhedsløsninger, udgør de et attraktivt og overset mål for avancerede aktører.

Teleudbydere er værdifulde mål

Telekommunikationsselskaber er blandt de mest attraktive mål for statssponsorerede spionagegrupper. De har adgang til enorme mængder metadata, brugerkommunikation og kritisk netværksinfrastruktur – alt sammen information, der kan udnyttes til overvågning og langsigtede strategiske formål.

Det canadiske center for cybersikkerhed har bekræftet, at mindst én national teleudbyder er blevet kompromitteret. Navnet på virksomheden er ikke offentliggjort. Hændelsen afspejler et voksende mønster, hvor statsstøttede aktører retter sig mod vestlige teleselskaber med stadig mere avancerede og målrettede metoder.

Sikkerhedsanbefalinger

Myndighederne opfordrer organisationer til at handle hurtigt for at beskytte deres netværk mod angreb som dem, Salt Typhoon står bag. Anbefalingerne inkluderer:

• Installation af alle tilgængelige sikkerhedsopdateringer på internetvendte enheder

• Segmentering af interne netværk for at begrænse skaden ved et eventuelt brud

• Overvågning af routere og firewalls gennem netværkslogs

• Deaktivering af unødvendige tjenester og regelmæssig gennemgang af konfigurationer

Derudover bør organisationer have en opdateret og præcis oversigt over alle edge-enheder. Ved at foretage regelmæssige sårbarhedsscanninger kan man identificere og udbedre skjulte svagheder, før hackerne gør det.

Cyberspionagens nye ansigt

Salt Typhoon repræsenterer et skift i måden, cyberspionage bliver udført på. Statssponsorerede aktører er blevet mere tålmodige, strategiske og teknisk avancerede. Ved at rette fokus mod enheder, der ofte overses i traditionelle cybersikkerhedsstrategier, finder de nye veje ind bag forsvarsværkerne.

Kampagnen er en påmindelse om, at kritisk infrastruktur starter ved netværkets kant. Organisationer bør anlægge et bredere syn på cybersikkerhed – et, der også omfatter netværksudstyr og edge-enheder, ikke kun slutpunkter og servere.

I de senere år har statsstøttede cyberoperationer fået både større udbredelse og mere forskelligartede mål. Fra Nordkoreas Lazarus Group, der stjal 1,4 milliarder dollars fra kryptoplatformen Bybit, til det globale overvågningsmisbrug med Pegasus-spyware, udviklet af det israelske firma NSO Group, viser disse kampagner den internationale rækkevidde og den politiske kompleksitet, der præger moderne cybertrusler.