Voltio tifón

Volt Typhoon (también conocido como VANGUARD PANDA, BRONZE SILHOUETTE , Redfly , Insidious Taurus , Dev-0391, Storm-0391 , UNC3236 o VOLTZITE ) es una amenaza persistente avanzada (APT) dedicada al ciberespionaje en nombre de la República Popular China . Activo desde al menos mediados de 2021, se sabe que el grupo ataca principalmente la infraestructura crítica de Estados Unidos . ^{[ 1 ] [ 2 ]} Volt Typhoon se centra en el espionaje, el robo de datos y el acceso a credenciales. ^{[ 3 ]}

Según Microsoft , el grupo se esfuerza al máximo por evitar ser detectado, y sus campañas priorizan capacidades que permiten a China sabotear infraestructuras de comunicaciones críticas entre Estados Unidos y Asia durante posibles crisis futuras. ^{[ 3 ]} El gobierno estadounidense cree que el objetivo del grupo es ralentizar cualquier posible movilización militar estadounidense que pueda producirse tras una invasión china de Taiwán . ^{[ 4 ]} Se cree que Volt Typhoon está dirigido por la Fuerza Cibernética del Ejército Popular de Liberación . ^{[ 5 ]} El gobierno chino niega la existencia del grupo. ^{[ 6 ]}

Volt Typhoon es el nombre que Microsoft le ha asignado actualmente al grupo, y es el nombre más utilizado para el mismo. El grupo también ha sido denominado de diversas maneras: ^{[ 7 ]}

• Dev-0391 (inicialmente por Microsoft)
• Storm-0391 (inicialmente de Microsoft)
• SILUETA ​​DE BRONCE (de Secureworks , una filial de Dell )
• Tauro Insidioso (por Palo Alto Networks Unidad 42)
• Redfly (de Gen Digital , anteriormente Symantec)
• UNC3236 (por Mandiant , una subsidiaria de Google )
• VANGUARD PANDA (por CrowdStrike )
• VOLTZITA (por Dragos) ^{[ 8 ]}

Según una publicación conjunta de todas las agencias de ciberseguridad e inteligencia de señales de los Cinco Ojos , las tácticas, técnicas y procedimientos (TTP) principales de Volt Typhoon incluyen vivir de los recursos del terreno, usar herramientas de administración de red integradas para lograr sus objetivos y mimetizarse con las actividades normales del sistema y la red de Windows . Esta táctica evita los programas de detección y respuesta de puntos finales (EDR), que alertarían sobre la introducción de aplicaciones de terceros en el host, y limita la cantidad de actividad capturada en las configuraciones de registro predeterminadas. Algunas de las herramientas integradas utilizadas por Volt Typhoon son: wmic , ntdsutil, netsh y Powershell . ^{[ 9 ]}

El grupo inicialmente utiliza software malicioso que penetra en sistemas conectados a internet explotando vulnerabilidades como contraseñas de administrador débiles, inicios de sesión predeterminados de fábrica y dispositivos que no se han actualizado con regularidad. ^{[ 10 ]} Una vez que obtienen acceso a un objetivo, hacen gran hincapié en el sigilo, basándose casi exclusivamente en técnicas de subsistencia y actividad directa en el teclado. ^{[ 10 ]}

Volt Typhoon rara vez utiliza malware en su actividad posterior a la intrusión. En cambio, emiten comandos a través de la línea de comandos para primero recopilar datos, incluidas credenciales de sistemas locales y de red, colocar los datos en un archivo comprimido para prepararlo para la exfiltración y luego usar las credenciales válidas robadas para mantener la persistencia. ^{[ 3 ] [ 11 ]} Algunos de estos comandos parecen ser exploratorios o experimentales, ya que los operadores los ajustan y repiten varias veces. Además, Volt Typhoon intenta mimetizarse con la actividad normal de la red enrutando el tráfico a través de equipos de red comprometidos de pequeñas oficinas y oficinas domésticas, incluidos enrutadores, cortafuegos y hardware VPN . ^{[ 12 ]} También se ha observado que utilizan versiones personalizadas de herramientas de código abierto para establecer un canal de comando y control (C2) a través de un proxy para permanecer aún más ocultos. ^{[ 3 ] [ 10 ]}

En muchos sentidos, Volt Typhoon funciona de manera similar a los operadores de botnets tradicionales , tomando el control de dispositivos vulnerables como routers y cámaras de seguridad para ocultarse y establecer una base antes de usar ese sistema para lanzar ataques futuros. Operar de esta manera dificulta que los defensores de la ciberseguridad identifiquen con precisión el origen de un ataque. ^{[ 10 ]}

Según Secureworks (una división de Dell ), el interés de Volt Typhoon en la seguridad operativa "probablemente surgió de la vergüenza por la sucesión de acusaciones estadounidenses [contra hackers respaldados por el Estado chino] y la creciente presión de los líderes chinos para evitar el escrutinio público de su actividad de ciberespionaje". ^{[ 13 ]}

Según el investigador de ciberseguridad Ryan Sherstobitoff, "A diferencia de los atacantes que desaparecen al ser descubiertos, este adversario se afianza aún más cuando queda expuesto". ^{[ 14 ]}

En enero de 2024, el FBI anunció que había desarticular las operaciones de Volt Typhoon mediante operaciones autorizadas por un tribunal para eliminar el malware de los enrutadores de las víctimas con sede en EE. UU. y tomando medidas para prevenir la reinfección. ^{[ 19 ]}

En marzo de 2025, el Comité de Seguridad Nacional de la Cámara de Representantes de Estados Unidos solicitó al Departamento de Seguridad Nacional que entregara documentos sobre la respuesta del gobierno federal al ciberataque. ^{[ 20 ]}

En julio de 2025, el Ministro Coordinador de Seguridad Nacional de Singapur, K. Shanmugam, identificó a UNC3886 como un APT que había estado atacando la infraestructura crítica de Singapur. ^{[ 21 ] [ 22 ]} La Agencia de Ciberseguridad de Singapur había estado investigando las actividades de UNC3886 desde su detección. ^{[ 21 ]}

• Guerra cibernética y China
• Operaciones de información y guerra de información chinas
• Espionaje chino en Estados Unidos