Iframe is blocked. Accept cookies to load it.

Wir verwenden Cookies, um die Funktion unserer Website sicherzustellen und Ihr Nutzungserlebnis zu verbessern. Einige Cookies sind technisch notwendig, andere helfen uns, die Website zu analysieren und unsere Inhalte zu optimieren. Details finden Sie in unserer Datenschutzerklärung.

Enter
PREPARE
PROTECT
DETECT
RESPOND
IMPROVE
Login
Vorfall melden!
Schließen
Navigation
Kontaktinformation
+49 89 45 24 24-100
kontakt@argos.security
Leistungen
ÜBER UNS
News & Insights
Servicecenter
Zurück
Schließen
Threat Intelligence

Salt Typhoon

Salt Typhoon drang tief in Telekommunikationsnetze ein – bis hin zu Systemen für staatliche Überwachungsanfragen.

Vorfall melden
Kurz erklärt

Salt Typhoon ist eine China zugeordnete APT-Gruppe, die 2024 durch tiefe Eindringungen in große Telekommunikationsanbieter bekannt wurde – mit Zugriff bis in sensible Bereiche wie Abhör-Schnittstellen. Ziel ist umfassende Kommunikations- und Metadaten-Spionage.

Aktiv

Modell

Staatlicher Akteur (Spionage, Telekommunikation)

Auch bekannt als

Salt Typhoon, GhostEmperor, FamousSparrow, Earth Estries, UNC2286

Gegründet

ca. 2020

Entstanden aus

China-nexus Spionage

Herkunft

China (Ministerium für Staatssicherheit, MSS)

Zielsektoren

Telekommunikation, Internet-Provider, Regierung

Zielregionen

USA (primär), Europa, global

Typisches Lösegeld

kein Lösegeld – staatliche Spionage

Opferzahl

Kompromittierung mehrerer großer US-Telekom-Anbieter (2024) inkl. Zugriff auf Abhör-/Lawful-Intercept-Systeme

File Extensions

keine (Spionage, keine Ransomware)

Ransom Note

keine (Spionage)

Handlungsempfehlungen im Ernstfall

✅ Sofort tun
  • Ruhe bewahren und den Vorfall als potenziell staatlich motivierte Spionage behandeln – Geschäftsführung und einen spezialisierten Incident-Response-Dienstleister einbinden.
  • Netzwerk-/Edge-Geräte (Router, Gateways) prüfen und härten – Salt Typhoons Haupteinstieg; Firmware auf Manipulation untersuchen.
  • Betroffene Systeme isolieren, aber nach Möglichkeit forensische Spuren sichern.
  • Zugangsdaten und Zertifikate erneuern; Out-of-Band kommunizieren.
  • Meldepflichten prüfen (NIS2, DSGVO, TKG); BSI und Behörden einbeziehen.
  • 24/7-Incident-Response und Threat Intelligence hinzuziehen.
⛔ Unbedingt vermeiden
  • Netzwerkgeräte-Firmware nicht als vertrauenswürdig annehmen – gezielt auf Router/Switches ausgerichtet.
  • Nicht vorschnell neu aufsetzen, bevor Forensik und Umfang gesichert sind.
  • Den Angreifer nicht vorzeitig alarmieren – koordinierten Eviction-Plan erstellen.
  • Interne Krisenkommunikation nicht über möglicherweise kompromittierte Netze führen.
  • IOCs nicht ungeprüft öffentlich teilen.
  • Meldepflichten nicht ignorieren.

Bekannte Angriffe

  • Große US-Telekom-Anbieter (2024, u. a. Zugriff auf Kommunikationsdaten)
  • Zugriff auf lawful-intercept-Infrastruktur

Angriffstechniken (TTPs)

  • Initial Access: Ausnutzung von Edge-/Netzwerkgeräten (Router, Gateways), Living-off-the-Land.
    • Cisco IOS XE (CVE-2023-20198/20273), Ivanti; Manipulation der Authentifizierung
    • MITRE: T1190, T1556, T1078
  • Werkzeuge: Demodex-Rootkit, GhostSpider, SnappyBee; verdeckter Zugriff über Telekom-Kernnetze.

Technologie & Malware

Arsenal: Demodex-Rootkit, GhostSpider, SnappyBee; Kompromittierung von Routern/Switches.

Bedeutung: zielt auf das Rückgrat der Kommunikation – Zugriff auf Telekom-Netze ermöglicht Massenüberwachung.

Indicators of Compromise (IOCs)

  • Malware: Demodex, GhostSpider, SnappyBee
  • Ausgenutzte CVEs: CVE-2023-20198/20273 (Cisco IOS XE)
  • Fokus: Telekom-Kernnetze, Abhör-Infrastruktur

Was Unternehmen jetzt prüfen sollten

  • Härtung und Patch-Stand von Netzwerk-/Edge-Geräten
  • Monitoring auf ungewöhnlichen Router-/Config-Zugriff
  • Netzwerksegmentierung und starke Admin-Authentifizierung

Wie Argos unterstützt

24/7-Netzwerk-Monitoring und Threat Hunting im Cyber Defense Center erkennen die stillen, gerätenahen Zugriffe dieser Kampagnen.

Incident Response anfordern
IR-Retainer →Managed XDR →Alle Threat Actors →