Spionage, gefördert aus China Wer ist Salt Typhoon?

Anbieter zum Thema

cidaas by Widas ID GmbH

sysob IT-Distribution GmbH & Co. KG

FTAPI Software GmbH

Salt Typhoon ist eine staatlich unterstützte Hackergruppe aus China, die Router großer Telekommunikationsanbieter und Behörden kompromittiert. Ziel ist kein kurzfristiger Angriff, sondern der Aufbau eines globalen Spionagenetzes über kritische Infrastrukturen.

Salt Typhoon ist eine staatlich unterstützte Hackergruppe aus der Volksrepublik China, die derzeit weltweit für Aufsehen sorgt. Ihr Ziel ist keine kurzfristige Sabotage, sondern der Aufbau eines langfristigen globalen Spionagenetzwerks. Die Gruppe kompromittiert Router großer Telekommunikationsanbieter, Regierungs- und Militärnetze sowie kritische Infrastrukturen und nutzt sie, um Kommunikationsdaten abzugreifen und Bewegungsprofile zu erstellen.

Update: 10 Millionen Dollar Belohnung

Chinesische Hacker greifen kritische US-Infrastrukturen an

Seit mindestens 2021 führt Salt Typhoon systematische Angriffe durch, oft unbemerkt und über Jahre hinweg. Dabei manipulieren die Akteure Routerkonfigurationen, richten verdeckte Tunnel ein und schaffen sich so dauerhafte Zugänge in sensiblen Netzwerken. Westliche Staaten, vor allem die USA, aber auch Australien, Kanada und Großbritannien, gelten als Hauptziele. Obwohl bislang keine bestätigten erfolgreichen Angriffe auf deutsche Netze bekannt sind, warnte das BSI vor der Bedrohung durch Salt Typhoon, da Telekommunikations- und Infrastrukturanbieter in Deutschland zum erweiterten Zielprofil zählen würden.

Nach Veröffentlichung der Bitkom-Studie

China weist Vorwurf von Cyberangriffen scharf zurück

Wer steckt hinter Salt Typhoon?

• Name: Salt Typhoon

• Alias: Operator Panda, RedMike, UNC5807, GhostEmperor, FamousSparrow, Earth Estries, UNC2286

• Erste Aktivität: Seit mindestens 2021 aktiv, zugehörige IP-Indikatoren wurden zwischen August 2021 und Juni 2025 beobachtet

• Motivation: Spionage, gefördert durch die Volksrepublik China

Hack-for-Hire

Silk Typhoon: Chinas gefährlichste Hacker-Gruppe enttarnt

Wer sind die Opfer von Salt Typhoon?

• Primäre Ziele: Telekommunikationsanbieter, Regierungen, Transportunternehmen, Militär

• Fokusländer: vor allem USA, aber auch Kanada, Neuseeland, Vereinigtes Königreich

• Deutsche Angriffsziele: Laut BSI keine erfolgreichen Aktivitäten in Deutschland

Weltweites Spionagesystem

BSI warnt vor Salt Typhoon

Vorgehensweise von Salt Typhoon

Die Akteure hinter Salt Typhoon kompromittieren bevorzugt Kernnetzinfrastrukturen, also große Backbone-Router von Telekommunikationsanbietern sowie Provider-Edge- und Custo­mer-Edge-Router. Der Erstzugang erfolgt nicht über Zero-Days, sondern überwiegend über bekannte, ungepatchte Schwachstellen, wie CVE-2023-20198 und CVE-2023-20273 in Ciscos IOS XE, CVE-2024-21887 in Connect Secure und Policy Secure von Ivanti, CVE-2024-3400 in PAN-OS von Palo Alto.

Nach der Kompromittierung manipuliert Salt Typhoon oftmals Access Control Lists, aktiviert SSH/HTTP(S)-Managementdienste auf ungewöhnlichen Ports, richtet Traffic-Mirroring (SPAN/RSPAN/ERSPAN) und GRE/IPsec-Tunnel ein und nutzt teils Container oder Guest Shell auf Netz­werkgeräten, um eigene Tools zu hosten und sich lateral fortzubewegen. Laut der US-ameri­ka­nischen Cybersecurity & Infrastructure Security Agency (CISA) hinterlässt die Gruppe dabei digitale Spuren und Hilfsdateien, die auf kompromittierten Geräten erzeugt oder abgelegt werden. Dazu zählen insbesondere Packet-Capture-Dateien (PCAPs) wie „tac.pcap“, „mycap.pcap“ oder „1.pcap“, die oft für das Abgreifen von Authentifizierungsdaten aus TACACS+- oder RADIUS-Verbindungen genutzt werden, sowie „double-encoded WSMA-Requests“, mit denen die Akteure Routerbefehle verschleiern und unerlaubte Administratorzugänge ein­richten.

Verantwortlich für Cyberangriffe auf die USA

So arbeitet die gefährliche Hackergruppe Salt Typhoon

Besonderheiten von Salt Typhoon

Typisch für Salt Typhoon ist ihr Fokus auf Netzwerkgeräte statt auf klassische Server. Die Akteure manipulieren Router-Konfigurationen, um breitflächig Metadaten, Konfigurations­informationen und sogar Paketströme zu sammeln. Dadurch entsteht ein „Spionage-Backbone“. Die Gruppe agiert langanhaltend und operiert häufig über viele Kompromittierungen hinweg, um sich wiederkehrenden und weitreichenden Zugriff zu ermöglichen. Weiterhin fällt die Kombination aus Nutzung offener Infrastruktur (VPS, gehostete Staging-Hosts), spezialisierten Go-basierten SFTP-Tools (Secure File Transfer Protocol) und Container-Missbrauch auf Routern auf. All dies spricht dafür, dass hinter Salt Typhoon gut organisierte Mitglieder stehen, die über viele Ressourcen verfügen und möglicherweise staatlich gefördert sind. Genauere Details zu den Tactics, Techniques and Procedures (TTPs) der Gruppel listet das BSI auf.

Phantom Taurus

Neue Erkenntnisse zu durch China unterstützter Bedrohungsgruppe

Schutz vor Salt Typhoon

Basierend auf den Erkenntnissen über die Vorgehensweise von Salt Typhoon, sollte der Schutz vor der APT-Gruppe an der Netzwerkgrenze beginnen. Laut CISA und BSI sollten Unternehmen bekannte Schwachstellen auf Routern und Firewalls umgehend schließen, Management-Zu­gänge strikt isolieren und ungenutzte Dienste wie Web-UIs oder Guest Shells deaktivieren. Zusätzlich helfen das sichere Simple Network Management Protocol Version 3 (SNMPv3), Public-Key-Authentifizierung und restriktive Access Control Lists, Angriffsflächen zu mini­mieren. Verdächtige Artefakte wie lokale Paketmitschnitte (tac.pcap, mycap.pcap), unge­wöhn­liche SSH-Ports oder neu eingerichtete GRE- oder IPsec-Tunnel sind den Behörden zufolge klare Warnsignale.

Pro-russische Hackergruppe

Wer ist NoName057(16)?

(ID:50529867)