Chinas Volt Typhoon-Hacker lauerten fast ein Jahr lang im US-Stromnetz

Ein kürzlich aufgedeckter Cyberangriff hat eine beunruhigende Realität ans Licht gebracht: Eine vom chinesischen Staat gesponserte Hackergruppe namens Volt Typhoon drang heimlich in das Netzwerk eines US-amerikanischen Energieversorgers ein und blieb über 300 Tage lang unentdeckt. Der Angriff, der sich gegen die Littleton Electric Light and Water Departments (LELWD) in Massachusetts richtete, verdeutlicht die wachsende Bedrohung kritischer US-Infrastrukturen.

Der Volt Typhoon-Einbruch: Eine 300-tägige Cyber-Spionage-Operation

Laut dem ICS/OT-Sicherheitsunternehmen Dragos verschaffte sich Volt Typhoon im Februar 2023 Zugriff auf das Netzwerk von LELWD. Ihre Präsenz blieb bis November 2023 unbemerkt, als Dragos den Einbruch während der Implementierung seiner Sicherheitslösungen beim Energieversorger entdeckte. Diese Entdeckung führte zu einem beschleunigten Einsatz der Dragos-Abwehrmaßnahmen, um den Angriff abzumildern.

Volt Typhoon, auch bekannt als Voltzite, wurde erstmals im Mai 2023 von Microsoft öffentlich identifiziert und mit der chinesischen Regierung in Verbindung gebracht. Seitdem hat sich die Gruppe einen Namen für ihre hochentwickelten Cyberspionagekampagnen gemacht, die auf kritische US-Infrastrukturen abzielen.

Was hatten die Hacker vor?

Im Gegensatz zu typischen Cyberkriminellengruppen, die auf Ransomware oder finanziellen Gewinn abzielen, deuten die Aktivitäten von Volt Typhoon auf ein strategisches, langfristiges Ziel hin. Laut Dragos haben die Hacker:

• Langfristiger Zugriff auf das Betriebstechnologienetzwerk (OT) des Versorgungsunternehmens, das die physische Infrastruktur steuert.
• Diebstahl vertraulicher OT-bezogener Daten , einschließlich Betriebsverfahren und Systemlayouts.
• Exfiltrierte Daten des geografischen Informationssystems (GIS) , die wichtige Details zur räumlichen Anordnung des Energienetzes enthalten.

Diese Art von Intelligenz könnte künftig cyber-physische Angriffe ermöglichen, bei denen Hacker nicht nur Systeme aus der Ferne stören, sondern auch genau wissen, worauf sie zielen müssen, um den größtmöglichen Schaden anzurichten.

Warum ist dies ein großes Sicherheitsrisiko?

Dragos warnte, dass Volt Typhoon zwar bisher nicht dabei beobachtet wurde, industrielle Steuerungssysteme (ICS) aktiv zu stören, der anhaltende Zugriff und die Datenexfiltration jedoch auf mögliche Vorbereitungen für zukünftige Angriffe hindeuten.

Die ICS Cyber Kill Chain unterteilt Angriffe in mehrere Phasen. Volt Typhoon scheint sich derzeit in Phase 1 zu befinden, die Aufklärung und Datendiebstahl umfasst. Sollte das System jedoch in Phase 2 vordringen, könnten gezielte Angriffe auf US-Stromnetze, Wassersysteme oder andere kritische Infrastrukturen entwickelt und getestet werden.

Chinas Strategie zur Cyberkriegsführung: Legt sie den Grundstein für künftige Angriffe?

Dieser Vorfall fügt sich in ein breiteres Muster chinesischer Cyberspionage ein, die sich gegen die US-Infrastruktur richtet. Sicherheitsexperten gehen davon aus, dass Gruppen wie Volt Typhoon nicht nur Überwachung betreiben, sondern auch den Grundstein für mögliche zukünftige Konflikte legen.

Durch die Infiltration und Kartierung kritischer Systeme Jahre im Voraus könnte China im Falle eskalierender geopolitischer Spannungen verheerende Cyberangriffe starten. Dies steht im Einklang mit früheren Warnungen der US-Geheimdienste, die darauf hingewiesen hatten, dass China die amerikanische Infrastruktur aktiv auf Schwachstellen untersucht.

Die Notwendigkeit einer stärkeren OT-Sicherheit

Der LELWD-Vorfall ist ein Weckruf für alle Versorgungsunternehmen und Anbieter kritischer Infrastrukturen. Vielen kleineren öffentlichen Versorgungsunternehmen fehlen die Cybersicherheitsressourcen größerer Organisationen, was sie zu attraktiven Zielen für staatliche Hacker macht.

Dragos' Fallstudie unterstreicht die Bedeutung von Echtzeitüberwachung, Netzwerksegmentierung und Angriffserkennung zum Schutz von OT-Umgebungen. Ohne diese Abwehrmaßnahmen können Hacker monatelang – oder sogar jahrelang – unentdeckt bleiben, Informationen sammeln und sich auf einen möglichen Cyberkrieg vorbereiten.

Eine wachsende Bedrohung, die nicht ignoriert werden kann

Der Volt-Typhoon-Angriff auf LELWD beweist, dass staatliche Hacker bereits in die kritische Infrastruktur der USA eingedrungen sind und nicht nur Abwehrmaßnahmen testen, sondern auch aktiv Informationen für mögliche zukünftige Angriffe sammeln.

Angesichts zunehmender geopolitischer Spannungen und sich entwickelnder Cyberbedrohungen müssen die USA der Stärkung ihrer Cyberabwehr Priorität einräumen – bevor es zu spät ist.