Digitale trusler fra Østasien vokser i omfang og effektivitet

Kinesiske statsforbundne trusselsaktører viser fortsat interesse i Det Sydkinesiske Hav og Taiwan, hvilket afspejler Kinas store samling af økonomiske, forsvarsmæssige og politiske interesser i dette område. ¹ Modstridende territoriale krav, stigende spændinger på tværs af strædet og en øget militær tilstedeværelse fra USA kan alle være motivationsfaktorer bag Kinas offensive cyberaktiviteter.²

Microsoft har sporet Raspberry Typhoon (RADIUM) som den primære trusselsgruppe, der retter sig mod nationer, der omkranser det Sydkinesiske Hav. Raspberry Typhoon målretter sig konsekvent mod regeringers ministerier, militære enheder og erhvervsenheder med forbindelse til kritisk infrastruktur, særligt telekommunikation. Siden januar 2023 har Raspberry Typhoon været særligt vedholdende. Ved målretning mod regeringers ministerier eller infrastruktur foretager Raspberry Typhoon normalt indsamling af oplysninger og eksekverer malware. I mange lande varierer målene fra forsvars- og efterretningsrelaterede ministerier til økonomi- og handelsrelaterede ministerier.

Flax Typhoon (Storm-0919) er den mest prominente trusselsgruppe, der målretter mod øen Taiwan. Denne grupper retter sig primært mod telekommunikation, uddannelse, informationsteknologi og energiinfrastruktur, normalt ved at bruge en tilpasset VPN-enhed til at oprette en tilstedeværelse direkte inde i målnetværket. På samme måde målretter Charcoal Typhoon (CHROMIUM) mod taiwanske uddannelsesinstitutioner, energiinfrastruktur og højteknologisk produktion. I 2023 målrettede både Charcoal Typhoon og Flax Typhoon mod taiwanske enheder inden for luftfart, som handler med det taiwanske militær.

Flere Kina-baserede trusselsgrupper fortsætter med at målrette mod USA's forsvarsindustrielle base, nærmere betegnet Circle Typhoon (DEV-0322), Volt Typhoon (DEV-0391) og Mulberry Typhoon (MANGANESE). Selvom målene for disse tre grupper til tider overlapper, er de forskellige aktører med forskellig infrastruktur og kapaciteter.³

Circle Typhoon udfører en lang række cyberaktiviteter mod USA's forsvarsindustrielle base, herunder ressourceudvikling, indsamling, oprindelig adgang og adgang til legitimationsoplysninger. Circle Typhoon gør ofte brug af VPN-enheder til at målrette mod it og USA-baserede forsvarsvirksomheder. Volt Typhoon har også foretaget rekognoscering mod flere amerikanske forsvarsvirksomheder. Guam er en af de mest hyppige mål for disse kampagner, særligt enheder inden for satellit- og telekommunikation, der befinder sig der. ⁴

En af Volt Typhoons hyppigt anvendte taktikker involverer kompromittering af routere til små konterer og hjemmet, typisk for at opbygge infrastruktur.⁵ Mulberry Typhoon har også rettet sig mod USA's forsvarsindustrielle base, mest bemærkelsesværdigt med en zero-day-sårbarhed rettet mod enheder.⁶ Øget målretning mod Guam er bemærkelsesværdig på grund af positionen som det amerikanske territorie, der er tættest på Østasien og afgørende for USA's strategi i området.

Microsoft har observeret trusselsgrupper med forbindelse til den kinesiske stat, som målretter mod USA's kritiske infrastruktur på tværs af flere sektorer og betydelig ressourceudvikling over de seneste seks måneder. Volt Typhoon har været den primære gruppe bag denne aktivitet siden sommeren 2021, og omfanget af denne aktivitet kendes endnu ikke fuldt ud.

Målsektorerne omfatter transport (f.eks. havne og jernbaner), forsyning (f.eks. energi og vandrensning), medicinsk infrastruktur (herunder hospitaler) og telekommunikationsinfrastruktur (herunder satellitkommunikation og fiberoptiske systemer). Microsoft vurderer, at denne kampagne kan give Kina kapaciteter til at forstyrre kritisk infrastruktur og kommunikation mellem USA og Asien.⁷

Siden 15. maj har Storm-0558, en Kina-baseret trusselsaktør, brugt forfalskede godkendelsestokens til at opnå adgang til Microsoft-kundemailkonti tilhørende 25 organisationer, herunder amerikanske og europæiske regeringsenheder.⁸Microsoft er lykkedes med at blokere denne kampagne. Målsætningen med angrebet var at opnå uautoriseret adgang til mailkonti. Microsoft vurderer, at denne aktivitet var i overensstemmelse med Storm-0558's spionagemålsætninger. Storm-0558 har tidligere målrettet mod amerikanske og europæiske diplomatiske enheder.

For det første bliver operationer, der gør brug af video og visuelle medier, normen. CCP-forbundne netværk har i lang tid gjort brug af profilbilleder genereret af kunstig intelligens, og dette år har de taget kunst generet af kunstig intelligens i brug til visuelle memes. Statsstøttede aktører vil også fortsætte med at bruge private indholdsstudier og PR-firmaer til at outsource propaganda on demand.³⁵

For det andet vil Kina fortsætte med at søge autentisk målgruppeinteraktion ved at investere tid og ressourcer i kultiverede sociale medier-aktiver. Influencere med dyb kulturel og lingvistisk viden og videoindhold i høj kvalitet har været pionerer for vellykket interaktion på sociale medier. CCP vil anvende nogle af disse taktikker, herunder interaktion med brugere på sociale medier og demonstration af kulturel knowhow, for at forstærke diskrete kampagner på sociale medier.

For det tredje vil Taiwan og USA sandsynligvis forblive de to topprioriteter for kinesisk IO, særligt med de kommende valg i begge lande i 2024. Give at CCP-støttende påvirkningsaktører har målrettet mod amerikanske valg i den seneste tid, er det næsten sikkert, at de vil gøre det igen. Aktiver på sociale medier, der udgiver sig for at være amerikanske vælgere, vil sandsynligvis udvise højere grader af sofistikation, hvor de aktivt sår uenighed på tværs af racemæssige, socialøkonomiske og ideologiske linjer med indhold, der er stærkt kritisk over for USA.