Microsoft afferma che una squadra di hacker cinese sta prendendo di mira Taiwan

DiAJ Vicens

24 agosto 2023

I ricercatori di Microsoft hanno affermato giovedì che un gruppo di hacker con sospetti legami con il governo cinese sta prendendo di mira attivamente dozzine di organizzazioni a Taiwan come parte di una campagna di spionaggio informatico.

Flax Typhoon, il nome che Microsoft usa per descrivere il gruppo con sede in Cina, sta lavorando per ottenere e mantenere l'accesso a lungo termine alle organizzazioni principalmente taiwanesi, anche se alcune vittime sono state osservate nel sud-est asiatico, Nord America e Africa, ha affermato la società in un post sul blog giovedì. Gli obiettivi del gruppo includono enti governativi, aziende manifatturiere e aziende tecnologiche.

La notizia arriva subito dopo l’approvazione da parte dell’amministrazione Biden di un pacchetto di armi da 500 milioni di dollari a Taiwan e di un nuovo ciclo di esercitazioni militari cinesi vicino all’isola. Tre mesi fa, Microsoft e una coalizione di agenzie di intelligence hanno rivelato che hacker legati alla Cina hanno preso di mira i sistemi di telecomunicazioni a Guam come parte di un’operazione che potrebbe aver gettato le basi per interrompere le comunicazioni tra gli Stati Uniti e le sue risorse militari nell’Asia orientale.

Il rapporto di giovedì di Microsoft descrive un attore abbastanza furtivo che utilizza quantità minime di malware nelle sue operazioni e si affida invece a strumenti già presenti nei sistemi delle vittime, "insieme ad alcuni software normalmente innocui". I ricercatori di Microsoft non hanno osservato il gruppo utilizzare il proprio accesso ai sistemi taiwanesi per condurre operazioni aggiuntive, ma hanno notato che il gruppo sta utilizzando “tecniche che potrebbero essere facilmente riutilizzate in altre operazioni al di fuori della regione e trarrebbero vantaggio da una più ampia visibilità del settore”.

"Sebbene la nostra visibilità su queste minacce ci abbia dato la possibilità di implementare rilevamenti per i nostri clienti, la mancanza di visibilità su altre parti dell'attività dell'attore ci ha costretto a sensibilizzare la comunità più ampia per ulteriori indagini e protezioni nell'ecosistema della sicurezza", ha affermato l'azienda. ha detto nel suo blog.

Flax Typhoon è attivo dalla metà del 2021 ed è noto per utilizzare la web shell China Chopper, hanno osservato i ricercatori, che è stata utilizzata anche da Hafnium, un gruppo di hacker cinese sostenuto dallo stato che ha utilizzato con successo più bug zero-day in Microsoft Exchange Software server come parte di una campagna di spionaggio rivelata nel marzo 2021. Nello stesso anno, l'FBI ha violato i server delle vittime per rimuovere il malware Hafnium.

Flax Typhoon è stato osservato anche utilizzando Metasploit, un popolare framework di test di penetrazione; lo strumento di escalation dei privilegi Juicy Potato; Mimikatz, lo strumento di esfiltrazione dei dati; e il client VPN (Virtual Private Network) SoftEther, secondo Microsoft.