Mobile-Menu

Weltweites Spionagesystem BSI warnt vor Salt Typhoon

Von Melanie Staudacher 2 min Lesedauer

Anbieter zum Thema

Fsas Technologies GmbH
FAST LTA GmbH
FTAPI Software GmbH

In einer gemeinsamen Stellungnahme mit der NSA, der CISA und dem FBI warnt das BSI vor der chinesischen Hackergruppe Salt Typhoon. Diese greift Netzwerke mithilfe öffentlich bekannter Schwachstellen an, hauptsächlich mit dem Ziel der Spionage.

Diese Behörden haben gemeinsam die Sicherheitswarnung zu Salt Typhoon veröffentlicht.(Bild: Vogel IT-Medien GmbH)
Diese Behörden haben gemeinsam die Sicherheitswarnung zu Salt Typhoon veröffentlicht.
(Bild: Vogel IT-Medien GmbH)

Salt Typhoon ist eine Gruppe von Cyberkriminellen, die von der Volksrepublik China gefördert wird. Sie zielt auf Telekommunikations-, Regierungs-, Transport-, Beherbergungs- und Militärinfrastrukturnetze der ganzen Welt ab, um allen voran Spionage zu betreiben. Neben Kompromittierungsindikatoren (Indicators of Compromise, IoCs) veröffentlichen die Behörden in ihrem gemeinsamen Sicherheitshinweis auch die Tactics, Techniques, and Procedures (TTPs) der Akteure.

Erstzugriff durch bekannte Sicherheitslücken

Wie die Untersuchungen der Behörden ergaben, nutzt Salt Typhoon Infrastrukturen wie virtuelle private Server (VPS) und kompromittierte Zwischenrouter aus, die nicht einem öffentlich bekannten Botnetz oder einer Verschleierungsnetzwerkinfrastruktur zugeordnet werden konnten, um Telekommunikations- und Netzwerkdienstanbieter anzugreifen. Kompromittierte Geräte sowie vertrauenswürdige oder private Verbindungen, um in andere Netzwerke vorzudringen.

Für den Erstzugriff auf fremde Systeme nutzt Salt Typhoon meist öffentlich bekannte Schwachstellen aus. Dass die Gruppe auch Zero-Day-Schwachstellen ausnutzt, ist bisher nicht bekannt. Für Unternehmen enthält die Warnung eine Liste mit CVE-Nummern, die weit verbreitet sind und in der Vergangenheit bereits auf exponierten Geräten am Netzwerkrand ausgenutzt wurden:

  • CVE-2024-21887: Sicherheitslücke in Ivanti Connect Secure und Ivanti Policy Secure Webkomponenten, die häufig nach CVE-2023-46805 (Authentifizierungsumgehung) auftritt.
  • CVE-2024-3400: Palo Alto Networks PAN-OS GlobalProtect erstellt beliebige Dateien, die zur OS-Befehlsinjektion führen. Die CVE ermöglicht die Ausführung von nicht authentifiziertem Remotecode (Remote Code Execution, RCE) auf Firewalls, wenn GlobalProtect in bestimmten Versionen oder Konfigurationen aktiviert ist.
  • CVE-2023-20273: Cisco Internetworking Operating System (IOS) XE Software-Web-Management-Benutzeroberfläche nach der Authentifizierung. Eine Befehlseinschleusung beziehungsweise Berechtigungsausweitung tritt häufig in Verbindung mit CVE-2023-20198 für den Erstzugriff auf, um Codeausführung als Root zu ermöglichen.
  • CVE-2023-20198: Sicherheitslücke bei der Umgehung der Authentifizierung in der Cisco IOS XE-Web-Benutzeroberfläche

Aktivitäten der APT-Gruppe (Advanced Persistent Threat) wurden dem Sicherheitshinweis zufolge in den USA, Australien, Kanada, Neuseeland, Großbritannien und anderen Regionen weltweit beobachtet. Das BSI weist deutlich darauf hin, dass hierzulande keine erfolgreichen Aktivitäten von Salt Typhoon bekannt sind. Dennoch appelliert die Behörde zur Vorsicht. Die Warnung enthält Best Practices für Virtual Private Networks (VPNs) und Routing, spezifische Empfehlungen für einzelne Produkte sowie Maßnahmen zur Härtung interner Systeme.

(ID:50529816)

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zur IT-Sicherheit

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung

Weiterführende Inhalte