Microsoft alerta para mudança de táticas do grupo Silk Typhoon

A Microsoft revelou que o grupo de ciberespionagem Silk Typhoon, ligado ao Estado chinês, alterou as suas táticas e está agora a focar-se em ferramentas de gestão remota e serviços na cloud. A nova abordagem permite comprometer cadeias de fornecimento de IT, concedendo-lhes acesso a clientes downstream.

A empresa confirmou que várias indústrias foram afetadas pelos ataques, incluindo governos, serviços de IT, saúde, defesa, educação, ONG e energia. De acordo com o relatório da Microsoft, o Silk Typhoon tem explorado vulnerabilidades em aplicações não corrigidas para obter acesso privilegiado às redes das organizações-alvo. “Depois de comprometer com sucesso uma vítima, o Silk Typhoon usa as chaves e credenciais roubadas para se infiltrar nas redes dos clientes, onde podem abusar de uma variedade de aplicações implementadas, incluindo serviços da Microsoft e outros, para atingir os seus objetivos de espionagem”, detalha o documento.

O grupo de ciberespionagem já esteve envolvido em ataques contra entidades governamentais, como o Office of Foreign Assets Control (OFAC) dos EUA e o Committee on Foreign Investment in the United States (CFIUS). Atualmente, segundo a Microsoft, os agentes maliciosos estão a recorrer a credenciais comprometidas e chaves de API roubadas para aceder a redes de fornecedores de IT, soluções de gestão de identidade e acesso privilegiado.

A mudança de abordagem permite que os invasores operem de forma mais discreta, explorando aplicações na cloud para roubo de dados e eliminação de registos de atividade, reduzindo os vestígios da sua presença. Além disso, os atacantes têm sido observados a explorar vulnerabilidades críticas, como o CVE-2025-0282 no Ivanti Pulse Connect VPN e outras falhas previamente exploradas no Palo Alto Networks GlobalProtect (CVE-2024-3400) e no Citrix NetScaler ADC e no NetScaler Gateway (CVE-2023-3519).

Para dificultar a deteção, o Silk Typhoon construiu uma rede encoberta (“CovertNetwork”) que recorre a dispositivos comprometidos da Cyberoam, Zyxel e QNAP, usados para lançar ataques e mascarar atividades maliciosas.

A Microsoft disponibilizou novos indicadores de compromisso e recomenda que as organizações implementem as atualizações de segurança necessárias para mitigar os riscos.