Kommunikation, Fertigung, Versorgungsunternehmen, Transport, Bauwesen, Schifffahrt, Regierung, Informationstechnologie und Bildung – beim Angriff der von der chinesischen Regierung unterstützten Hackergruppe Volt Typhoon wurden so ziemlich alle Bereiche gehackt, die in der kritischen Infrastruktur der USA eine Rolle spielen. Wie viele US-Organisationen betroffen waren, war zunächst unklar.

Konkrete Informationen über den Angriff lieferten Microsoft und Five Eyes, das Geheimdienstbündnis aus Australien, Kanada, Neuseeland, dem Vereinigten Königreich und den Vereinigten Staaten. Ziel der Hackerattacke war demnach unter anderem die US-Pazifikinsel Guam – Heimat von drei amerikanischen Militärstützpunkten und ein strategisch bedeutender Punkt, wenn die Vereinigten Staaten auf einen möglichen Militärangriff Chinas oder eine Blockade Taiwans reagieren müssten.

„Das beobachtete Verhalten deutet darauf hin, dass der Bedrohungsakteur beabsichtigt, Spionage durchzuführen und den Zugang so lange wie möglich aufrechtzuerhalten, ohne entdeckt zu werden“, heißt es in einem Blogbeitrag von Microsoft, in dem auch Details zum Angriff selbst veröffentlicht wurden.

Demnach werde großen Wert auf Tarnung gelegt und sich fast ausschließlich auf Living-off-the-Land-Techniken sowie Hands-on-Keyboard-Aktivitäten verlassen. „Sie geben Befehle über die Befehlszeile aus, um (1) Daten, einschließlich Anmeldeinformationen von lokalen und Netzwerksystemen, zu sammeln, (2) die Daten in eine Archivdatei zu legen, um sie für die Exfiltration vorzubereiten, und dann (3) die gestohlenen gültigen Anmeldeinformationen zu verwenden, um die Persistenz zu erhalten“, wird im Bericht ausgeführt. Die Erkennung „und Abschwächung dieses Angriffs könnte eine Herausforderung sein“, heißt es weiter.

Die chinesische Botschaft in Washington reagierte nicht sofort auf Anfragen zur Stellungnahme. Die Störung der kritischen Infrastruktur durch Hacker wird von Microsoft-Analysten als reale Gefahr angesehen. Noch fehlen detaillierte Einblicke in die Fähigkeiten der Gruppe. Aktuell sind die Betroffenen offenbar mit Schadensbegrenzung beschäftigt: „Wie bei jeder beobachteten Aktivität von Nationalstaat-Akteuren hat Microsoft gezielte oder kompromittierte Kunden direkt benachrichtigt und ihnen wichtige Informationen zur Verfügung gestellt, die zur Sicherung ihrer Umgebungen erforderlich sind“, hieß es vonseiten Microsofts.