Aumenta la portata e l'efficacia delle minacce digitali dell'Asia orientale

Gli attori di minacce affiliati allo stato cinese manifestano un costante interesse per il Mar Cinese Meridionale e Taiwan, che riflette l'ampia varietà di interessi economici, politici e di difesa della Cina in questa area geografica.¹ Le rivalse territoriali, l'inasprirsi delle tensioni nello Stretto e una maggiore presenza militare degli Stati Uniti possono essere tutte motivazioni alla base degli attacchi informatici della Cina.²

Microsoft ha monitorato Raspberry Typhoon (RADIUM) in quanto principale gruppo di hacker che ha preso di mira le nazioni che si affacciano sul Mar Cinese Meridionale. Raspberry Typhoon colpisce costantemente ministeri, enti militari e aziende collegate all'infrastruttura critica, soprattutto le telecomunicazioni. Da gennaio 2023, Raspberry Typhoon è stato particolarmente persistente. Quando attacca i ministeri o le infrastrutture, Raspberry Typhoon in genere conduce una raccolta di informazioni e un'esecuzione di malware. In molti Paesi, i target variano dai ministeri della difesa e dell'intelligence a quelli dell'economia e del commercio.

Flax Typhoon (Storm-0919) è il gruppo di hacker più noto che ha come bersaglio l'isola di Taiwan. Questo gruppo prende di mira per prima cosa le telecomunicazioni, l'istruzione, l'IT e l'infrastruttura energetica, in genere sfruttando un'applicazione VPN personalizzata per stabilire direttamente una presenza nella rete target. Analogamente, Charcoal Typhoon (CHROMIUM) attacca gli istituti di istruzione, l'infrastruttura energetica e la produzione high-tech di Taiwan. Nel 2023, Charcoal Typhoon e Flax Typhoon hanno colpito le entità aerospaziali di Taiwan che collaborano con l'esercito taiwanese.

La base industriale della difesa degli Stati Uniti continua a essere attaccata da diversi gruppi di hacker in Cina, ovvero Circle Typhoon (DEV-0322), Volt Typhoon (DEV-0391) e Mulberry Typhoon (MANGANESE). I target di questi tre gruppi a volte si sovrappongono, ma si tratta di attori distinti con diverse infrastrutture e capacità.³

Circle Typhoon conduce un'ampia gamma di attività informatiche contro la base industriale della difesa degli Stati Uniti, compreso lo sviluppo delle risorse, la raccolta di dati, l'accesso iniziale e l'accesso tramite credenziali. Circle Typhoon spesso sfrutta applicazioni VPN per colpire l'IT e gli appaltatori della difesa che si trovano negli Stati Uniti. Anche Volt Typhoon ha condotto attività di ricognizione contro numerosi appaltatori della difesa degli Stati Uniti. Guam è uno dei target più frequenti di queste campagne, soprattutto le entità di telecomunicazioni e comunicazioni satellite che vi hanno sede.⁴

Una tattica frequente di Volt Typhoon consiste nella compromissione di piccoli router domestici e di uffici, di solito per la costruzione dell'infrastruttura.⁵ Anche Mulberry Typhoon ha attaccato la base industriale della difesa degli Stati Uniti, in particolare con un exploit zero-day rivolto ai dispositivi.⁶ Il targeting più intenso di Guam è significativo data la sua posizione in quanto territorio statunitense più vicino all'Asia orientale e cruciale per la strategia degli USA nell'area geografica.

Microsoft ha osservato gruppi di hacker affiliati allo stato cinese che attaccano l'infrastruttura critica degli Stati Uniti in molti settori e lo sviluppo di risorse importanti negli ultimi sei mesi. Volt Typhoon è il gruppo principale dietro questa attività almeno dall'estate del 2021, e la portata di tale attività ancora non è del tutto nota.

I settori colpiti includono trasporti (ad esempio, porti e ferrovie), utilità (ad esempio, i settori energetico e di trattamento delle acque), infrastrutture sanitarie (tra cui gli ospedali) e le infrastrutture delle telecomunicazioni (tra cui sistemi di fibra ottica e comunicazioni satellite). Microsoft ritiene che questa campagna potrebbe fornire alla Cina i mezzi per interrompere le infrastrutture critiche e le comunicazioni tra gli Stati Uniti e l'Asia.⁷

Dal 15 maggio, Storm-0558, un attore di minacce che si trova in Cina, ha usato token di autenticazione contraffatti per accedere agli account email dei clienti Microsoft di circa 25 organizzazioni, tra cui entità dei governi europei e statunitensi⁸ Microsoft ha bloccato questa campagna. L'obiettivo dell'attacco era ottenere l'accesso non autorizzato agli account email. Secondo Microsoft, questa attività rispecchiava gli obiettivi di spionaggio di Storm-0558. In precedenza, Storm-0558 ha attaccato entità diplomatiche europee e statunitensi.

In primo luogo, le operazioni che fanno uso di video e immagini stanno diventando la normalità. Le reti affiliate al PCC si servono da molto tempo di immagini di profilo generate dall'intelligenza artificiale e quest'anno hanno adottato questa tecnica anche per i meme. Inoltre, gli attori statali continueranno ad attingere a studi di contenuti privati e società di pubbliche relazioni per esternalizzare la propaganda su richiesta.³⁵

In secondo luogo, la Cina continuerà a cercare il coinvolgimento del pubblico autentico, investendo tempo e risorse in asset di social media curati. Gli influencer con grandi conoscenze culturali e linguistiche e i contenuti video di qualità elevata sono stati la base del successo delle interazioni sui social media. Il PCC applicherà alcune di queste tattiche, ad esempio interagendo con gli utenti sui social media e mostrando competenze culturali, per rafforzare le proprie campagne occulte sui social media.

In terzo luogo, Taiwan e gli Stati Uniti probabilmente resteranno le due priorità principali delle operazioni di influenza cinesi, soprattutto con le prossime elezioni del 2024. Dato che gli attori di influenza allineati al PCC hanno preso di mira le elezioni degli USA nel recente passato, è quasi certo che lo faranno di nuovo. Gli asset di social media che fingono di essere elettori statunitensi probabilmente mostreranno un livello più alto di sofisticazione, seminando attivamente tensioni a livello etnico, socioeconomico e ideologico con contenuti che criticano aspramente gli Stati Uniti.