Anche Viasat vittima del cyberspionaggio di Salt Typhoon

Anche Viasat, colosso delle telecomunicazioni americano, è rimasto vittima della campagna di cyberspionaggio di Salt Typhoon dello scorso anno. A riportare per prima la notizia è stata la testata Bloomberg: secondo alcune fonti vicino all’azienda, la compagnia sarebbe avrebbe scoperto di essere stata vittima del breach all’inizio di quest’anno.

Non solo quindi Verizon Communications e Lumen Technologies tra le vittime della campagna di spionaggio del gruppo cinese durante il periodo delle elezioni presidenziali, ma anche Viasat.

Gli impatti della campagna di Salt Typhoon sono stati devastanti: il gruppo ha rubato decine di migliaia di numeri di telefono rubati, inclusi quelli di numerose figure politiche. Nel caso di Viasat, però, non ci sarebbero conseguenze sugli utenti: “Viasat e il suo partner indipendente di cybersicurezza hanno indagato su una segnalazione di accesso non autorizzato attraverso un dispositivo compromesso“, ha dichiarato la società in un comunicato. “Al termine di un’indagine approfondita, non sono state trovate prove che suggeriscano un impatto sui clienti”.

La società non ha aggiunto altri dettagli sugli impatti dell’attacco sulla propria rete, ma in una dichiarazione successiva ha affermato che i dettagli delle analisi in corso, in collaborazione col governo e l’FBI, sono troppo sensibili e pertanto non ancora rilasciabili al pubblico.

Di fronte alle accuse degli Stati Uniti, il governo cinese ha negato qualsiasi collegamento a Salt Typhoon. Lo scorso gennaio la Casa Bianca ha emesso una sanzione ai danni di una compagnia cinese che, a detta del governo statunitense, avrebbe partecipato alla campagna del gruppo.

La minaccia Salt Typhoon

Attivo dal 2020, Salt Typhoon è un gruppo APT che si ritiene agisca per conto del Ministro per la Sicurezza dello Stato cinese. Fin dalla sua formazione ha eseguito campagne di spionaggio contro obiettivi di alto profilo, prendendo di mira in particolare gli Stati Uniti. Le operazioni del gruppo sono soprattutto di controspionaggio e furto di dati sensibili.

Secondo le informazioni raccolte negli anni dalle firme di sicurezza, il gruppo è organizzato in diversi sotto-team, ognuno dei quali opera contro un Paese, istituzione o settore differente.

Tra i principali tool usati dal gruppo c’è Demodex, un rootkit kernel-mode per Windows usato per prendere il controllo dei sistemi da remoto. Nel corso degli anni la gang ha affinato le proprie tecniche, arrivando a livelli di sofisticazione molto elevati che gli consentono di eludere i controlli e le analisi di sicurezza.

Noto alle intelligence di tutto il mondo fin dalla sua formazione, il gruppo si è guadagnato la fama del “grande pubblico” dopo il breach. Il gruppo aveva usato alcune vulnerabilità presenti nei router Cisco e avrebbe sfruttato l’intelligenza artificiale per eseguire gli attacchi su scala.

Sebbene da novembre il gruppo non sia tornato all’attacco, il livello di allerta è rimasto alto. L’attacco è stato talmente impattante che, in seguito, le agenzia governative statunitensi hanno cominciato a promuovere l’uso della crittografia end-to-end per proteggere le comunicazioni; un cambiamento significativo, visto che dagli anni ’90 il CALEA (Communications Assistance for Law Enforcement ACT) ha imposto ai provider di telecomunicazioni di inserire backdoor per le intercettazioni, le stesse backdoor che hanno usato gli attaccanti per portare a termine il breach.