Kinas Volt Typhoon Hackers lurade i USA:s elnät i nästan ett år

En nyligen avslöjad cyberattack har avslöjat en oroande verklighet: en kinesisk statssponsrad hackergrupp känd som Volt Typhoon infiltrerade i hemlighet ett amerikanskt elbolags nätverk och förblev oupptäckt i över 300 dagar. Attacken, som riktades mot Littleton Electric Light and Water Department (LELWD) i Massachusetts, belyser det växande hotet mot USA:s kritiska infrastruktur.

The Volt Typhoon Intrusion: En 300-dagars cyberspionageoperation

Enligt ICS/OT-säkerhetsföretaget Dragos fick Volt Typhoon åtkomst till LELWD:s nätverk i februari 2023. Deras närvaro gick obemärkt förrän i november 2023, då Dragos upptäckte intrånget under implementeringen av sina säkerhetslösningar på verktyget. Denna upptäckt ledde till en snabb utplacering av Dragos försvar för att mildra intrånget.

Volt Typhoon, även känd som Voltzite, identifierades först offentligt i maj 2023 av Microsoft, som kopplade gruppen till den kinesiska regeringen. Sedan dess har gruppen fått ett rykte för sina mycket sofistikerade cyberspionagekampanjer , inriktade på amerikansk kritisk infrastruktur.

Vad var hackarna ute efter?

Till skillnad från typiska cyberkriminella grupper som strävar efter ransomware eller ekonomisk vinning, indikerar Volt Typhoons aktiviteter ett strategiskt, långsiktigt mål. Enligt Dragos, hackarna:

• Bibehöll långvarig tillgång till bolagets operativa teknik (OT) nätverk , som kontrollerar fysisk infrastruktur.
• Stal känslig OT-relaterad data , inklusive operativa procedurer och systemlayouter.
• Exfiltrerade geografiska informationssystem (GIS) data , som innehåller kritiska detaljer om energinätets rumsliga layout.

Denna typ av intelligens kan tillåta framtida cyberfysiska attacker, där hackare inte bara stör system på distans utan också vet exakt vad de ska rikta in sig på för maximal skada.

Varför är detta ett stort säkerhetsproblem?

Dragos varnade för att även om Volt Typhoon ännu inte har observerats aktivt störa industriella kontrollsystem (ICS), signalerar deras ihållande åtkomst och dataexfiltrering potentiella förberedelser för framtida attacker.

ICS Cyber Kill Chain klassificerar attacker i flera steg. Hittills verkar Volt Typhoon vara i steg 1, vilket innebär spaning och datastöld. Men om de går vidare till steg 2 kan de utveckla och testa riktade attacker mot amerikanska elnät, vattensystem eller annan kritisk infrastruktur.

Kinas strategi för cyberkrigföring: Att lägga grunden för framtida attacker?

Denna incident passar in i ett bredare mönster av kinesiskt cyberspionage riktat mot USA:s infrastruktur. Säkerhetsexperter tror att grupper som Volt Typhoon inte bara bevakar utan lägger grunden för potentiella framtida konflikter.

Genom att infiltrera och kartlägga kritiska system flera år i förväg kan Kina positionera sig för att starta förödande cyberattacker i händelse av eskalerande geopolitiska spänningar. Detta är i linje med tidigare varningar från amerikanska underrättelsetjänster, som har varnat för att Kina aktivt undersöker amerikansk infrastruktur för sårbarheter.

Behovet av starkare OT-säkerhet

LELWD-incidenten fungerar som en väckarklocka för alla verktyg och leverantörer av kritisk infrastruktur. Många mindre allmännyttiga företag saknar cybersäkerhetsresurser från större organisationer, vilket gör dem till attraktiva mål för nationalstatshacker.

Dragos fallstudie betonar vikten av realtidsövervakning, nätverkssegmentering och intrångsdetektering för att skydda OT-miljöer. Utan dessa försvar kan hackare förbli oupptäckta i månader – eller till och med år – för att samla in intelligens och förbereda sig för potentiell cyberkrigföring.

Ett växande hot som inte kan ignoreras

Volt Typhoon-attacken mot LELWD bevisar att nationalstatshackare redan är inne i USA:s kritiska infrastruktur, inte bara testar försvar utan aktivt samlar in intelligens för potentiella framtida attacker.

Med ökande geopolitiska spänningar och cyberhot som utvecklas, måste USA prioritera att stärka sitt cyberförsvar – innan det är för sent.