Digitala hot från Östasien ökar, både vad gäller bredd och effektivitet

Kinesiska statsanknutna hotaktörer uppvisar ett fortsatt intresse av Sydkinesiska havet och Taiwan, vilket återspeglar Kinas omfattande ekonomiska, försvarsmässiga och politiska intressen i denna region.¹ Motstridiga territoriella anspråk, växande spänningar över sundet och en ökad amerikansk militär närvaro är samtliga möjliga motiv till Kinas offensiva cyberaktiviteter.²

Microsoft har identifierat Raspberry Typhoon (RADIUM) som den primära hotgruppen mot de nationer som finns runt Sydkinesiska havet. Raspberry Typhoon inriktar sig konsekvent på ministerier, militära enheter och företag som är anslutna till kritisk infrastruktur, i synnerhet inom telekom. Sedan januari 2023 har Raspberry Typhoon varit särskilt ihärdiga. Raspberry Typhoon utför vanligtvis informationsinsamling och använder sig av skadlig programvara vid inriktningen på ministerier och infrastruktur. I många länder varierar målen mellan försvars- och informationsrelaterade ministerier och ekonomi- och handelsrelaterade ministerier.

Flax Typhoon (Storm-0919) är den mest framträdande hotgrupp som har riktat in sig på Taiwan. Gruppen har främst fokus på telekommunikation, utbildning, informationsteknik och energiinfrastruktur, där man oftast använder en anpassad VPN-installation som upprättar en omedelbar närvaro i målnätverket. På liknande sätt riktar Charcoal Typhoon (CHROMIUM) in sig på taiwanesiska utbildningsinstitutioner, energiinfrastruktur och högteknologisk tillverkning. Under 2023 riktade både Charcoal Typhoon och Flax Typhoon in sig på taiwanesisk flygindustri som har avtal med den taiwanesiska militären.

Flera Kina-baserade hotgrupper fortsätter att rikta in sig på den amerikanska försvarsindustrin, i synnerhet Circle Typhoon (DEV-0322), Volt Typhoon (DEV-0391) och Mulberry Typhoon (MANGANESE). Även om inriktningen för dessa tre grupper ibland överlappar varandra är de separata aktörer med olika infrastruktur och möjligheter.³

Circle Typhoon har en omfattande cyberaktivitet mot den amerikanska försvarsindustrin med bland annat resursutveckling, insamling, initial åtkomst och tillgång till autentiseringsuppgifter. Circle Typhoon använder ofta VPN-installationer vid inriktningen mot IT och USA-baserade försvarsleverantörer. Volt Typhoon har också rekognoserat ett flertal amerikanska försvarsleverantörer. Guam är ett av de vanligaste målen för dessa kampanjer, i synnerhet de företag inom satellitkommunikation och telekommunikation som finns där.⁴

En vanlig taktik för Volt Typhoon är att kompromettera mindre kontors- och hemmaroutrar, vanligtvis för att skapa infrastruktur.⁵ Mulberry Typhoon har också riktat in sig på den amerikanska försvarsindustrin, främst med dag-nollattacker mot enheter.⁶ Den ökade inriktningen mot Guam är betydelsefull med tanke på dess position som det amerikanska territorium som är närmast Östasien och är avgörande för den amerikanska strategin i regionen.

Microsoft har sett att kinesiska statliga hotgrupper inriktar sig på olika sektorer inom amerikansk kritisk infrastruktur och en avsevärd resursutveckling under de senaste sex månaderna. Volt Typhoon har varit den primära gruppen bakom denna aktivitet minst sedan sommaren 2021 och omfattningen av denna aktivitet är fortfarande inte helt känd.

Sektorer som omfattas kan vara transport (t.ex. hamnar och järnväg), allmännyttig verksamhet (t.ex. energi och vattenrening), medicinsk infrastruktur (däribland sjukhus) och infrastruktur för telekommunikation (däribland satellitkommunikation och fiberoptiksystem). Microsoft bedömer att denna kampanj skulle kunna ge Kina möjlighet att störa kritisk infrastruktur och kommunikation mellan USA och Asien.⁷

Den 15 maj började Storm-0558, en Kina-baserad hotaktör, använda falska autentiseringstokens för att få åtkomst till e-postkonton för Microsofts kunder i cirka 25 organisationer, däribland amerikanska och europeiska statliga myndigheter.⁸ Microsoft har blockerat denna kampanj. Målet med attacken var att få obehörig åtkomst till e-postkonton. Microsoft bedömer att denna aktivitet ingick i spionagemålen för Storm-0558. Storm-0558 har tidigare riktat in sig på amerikanska och europeiska diplomatenheter.

För det första kommer operationer med video och visuella medier att bli normen. Nätverk som är kopplade till Kinas kommunistiska parti har länge använt AI-genererade profilbilder och det här året har man infört AI-genererad konst för visuella memes. Statligt stödda aktörer kommer också fortsätta att använda privata innehållsstudior och PR-byråer till att sprida propaganda på begäran.³⁵

För det andra kommer Kina fortsätta söka autentiskt målgruppsengagemang där man lägger tid och resurser på upparbetade sociala medietillgångar. Influerare med djupgående kulturell och språklig kunskap och högkvalitativt videoinnehåll har varit pionjärer för ett framgångsrikt socialt medieengagemang. Kinas kommunistiska parti kommer att tillämpa en viss del av denna taktik, exempelvis genom att interagera med sociala medieanvändare och visa kulturell kunskap, för att stärka sina dolda sociala mediekampanjer.

För det tredje kommer Taiwan och USA troligen att vara de främsta två prioriteringarna för kinesiska informationsoperationer, i synnerhet med tanke på kommande val i båda länderna under 2024. Med tanke på att Kinas kommunistiska partianpassade influeraraktörer har riktat sig mot amerikanska val tidigare är det så gott som säkert att de gör detta igen. Sociala medietillgångar som utger sig för att vara amerikanska väljare kommer troligen att vara ännu mer avancerade, där man aktivt sprider motsättningar i rasmässiga, socioekonomiska och ideologiska uppfattningar med innehåll som är skarpt kritiskt mot USA.