Компания Silent Push, специализирующаяся на киберразведке, опубликовала данные о технических отпечатках деятельности китайской группы повышенной угрозы (APT - Advanced Persistent Threat) Salt Typhoon. Эта информация, обычно остающаяся закрытой, была обнародована в связи с устареванием данных индикаторов, которые, по мнению аналитиков, вряд ли будут использоваться снова. Исследование выявило десятки ранее неизвестных доменов, связанных с этой группой и тесно переплетённой с ней организацией UNC4841.
Описание
Salt Typhoon, также известная как GhostEmperor, FamousSparrow, Earth Estries и UNC2286, считается операцией Министерства государственной безопасности КНР. Группа печально известна масштабными кампаниями против телекоммуникационной инфраструктуры и интернет-провайдеров по всему миру. Её деятельность привела к компрометации метаданных более миллиона абонентов мобильной связи в США и доступу к системам, используемым для санкционированного прослушивания.
Аналитики Silent Push, отталкиваясь от небольшого набора публично известных доменов, использовали комбинацию данных WHOIS (система регистрации доменных имён) и записей SOA (Start of Authority - начальная запись зоны) для выявления скрытых шаблонов регистрации. Ключевым маркером стало использование одноразовых адресов электронной почты на базе ProtonMail в сочетании с вымышленными регистрационными данными. Эти данные включали англоязычные имена и несуществующие адреса в США, что указывает на скоординированные усилия по сокрытию личности.
Этот метод позволил обнаружить 45 доменных имён, большинство из которых ранее не связывались с APT-активностью. Самый старый домен в выборке был зарегистрирован ещё в мае 2020 года, что подтверждает долгосрочный и терпеливый характер операций группы.
Особый интерес представляет связь с другой китайской группировкой - UNC4841. Эта группа прославилась в 2023 году эксплуатацией уязвимости нулевого дня в Barracuda Email Security Gateway Appliance. Исследование выявило явное перекрытие технической инфраструктуры между Salt Typhoon и UNC4841, включая общие шаблоны регистрации доменов и методы управления, что указывает на возможные общие корни или тесное сотрудничество.
Многие из обнаруженных доменов в настоящее время неактивны, будучи либо заброшенными, либо перенаправленными на sinkhole-серверы (серверы-ловушки, контролируемые исследователями безопасности). Однако учитывая фокус этих групп на долгосрочном и скрытном доступе, Silent Press настоятельно рекомендует организациям, особенно из телекоммуникационного сектора и государственного аппарата, провести тщательный анализ своих DNS-логов и данных телеметрии за последние пять лет на предмет обращений к указанным доменам и IP-адресам.
Раннее обнаружение подобных обращений может свидетельствовать о успешном проникновении в прошлом, которое до сих пор остаётся незамеченным. Публикация этих данных предназначена для того, чтобы помочь международному сообществу кибербезопасности в отслеживании и противодействии сложным угрозам, исходящим от государственных хакерских группировок. Полный отчёт и архив индикаторов компрометации доступны корпоративным клиентам Silent Push с июня 2025 года.
Индикаторы компрометации
