Iframe is blocked. Accept cookies to load it.

Wir verwenden Cookies, um die Funktion unserer Website sicherzustellen und Ihr Nutzungserlebnis zu verbessern. Einige Cookies sind technisch notwendig, andere helfen uns, die Website zu analysieren und unsere Inhalte zu optimieren. Details finden Sie in unserer Datenschutzerklärung.

Enter
PREPARE
PROTECT
DETECT
RESPOND
IMPROVE
Login
Vorfall melden!
Schließen
Navigation
Kontaktinformation
+49 89 45 24 24-100
kontakt@argos.security
Leistungen
ÜBER UNS
News & Insights
Servicecenter
Zurück
Schließen
Threat Intelligence

Volt Typhoon

Keine Malware, keine Alarme: Volt Typhoon nistet sich mit Bordmitteln in kritische Infrastrukturen ein – als strategische Vorbereitung für den Konfliktfall.

Vorfall melden
Kurz erklärt

Volt Typhoon ist eine China zugeordnete APT-Gruppe, die sich seit Jahren in kritische Infrastrukturen einnistet – Energie, Wasser, Kommunikation, Transport. Ihr Markenzeichen: Living off the Land. Statt Malware nutzt die Gruppe legitime Admin-Werkzeuge und kompromittierte Router, wodurch klassische Antivirus-Lösungen praktisch blind bleiben. Ziel ist nach Einschätzung westlicher Behörden die Vorbereitung von Sabotage im Konfliktfall.

Aktiv

Modell

Staatlicher Akteur (strategisches Pre-Positioning in KRITIS)

Auch bekannt als

Volt Typhoon, Vanguard Panda, BRONZE SILHOUETTE, Insidious Taurus

Gegründet

ca. 2021

Entstanden aus

China-nexus, Fokus auf kritische Infrastruktur

Herkunft

China (staatlich gesteuert)

Zielsektoren

Kritische Infrastruktur: Kommunikation, Energie, Wasser, Transport

Zielregionen

USA (inkl. Guam), zunehmend global

Typisches Lösegeld

kein Lösegeld – Vorbereitung möglicher Sabotage im Krisenfall

Opferzahl

Langfristige, verdeckte Präsenz in KRITIS-Netzen (CISA/FBI/NSA-Advisory 2024)

File Extensions

keine (Spionage/Sabotage-Vorbereitung, keine Ransomware)

Ransom Note

keine

Handlungsempfehlungen im Ernstfall

✅ Sofort tun
  • Ruhe bewahren und den Vorfall als potenziell staatliche Sabotage-Vorbereitung behandeln – Krisenstab, Geschäftsführung und spezialisierten Incident-Response-Dienstleister einbinden.
  • Auf ungewöhnliche, aber „legitime“ Administrationsaktivität achten (LOTL) – Volt Typhoon nutzt keine Malware, sondern Bordmittel und gültige Konten.
  • Edge-Geräte (Firewalls/VPN/Router) und Admin-Konten prüfen; Zugangsdaten großflächig erneuern.
  • IT/OT-Segmentierung prüfen; Out-of-Band kommunizieren.
  • Meldepflichten prüfen (NIS2, KRITIS, DSGVO); BSI und Behörden frühzeitig einbeziehen.
  • 24/7-Incident-Response und Threat Intelligence hinzuziehen.
⛔ Unbedingt vermeiden
  • Sich nicht auf signaturbasierte AV verlassen – Volt Typhoon hinterlässt kaum Malware.
  • „Legitime“ Admin-Aktivität nicht ungeprüft abhaken – genau darin versteckt sich die Gruppe.
  • Nicht vorschnell neu aufsetzen, bevor Forensik und Umfang gesichert sind.
  • Edge-Geräte und SOHO-Router nicht übersehen – bevorzugte Einstiegs-/Tarnpunkte.
  • Interne Krisenkommunikation nicht über kompromittierbare Netze führen.
  • Meldepflichten nicht ignorieren.

Bekannte Angriffe

  • US-KRITIS (Kommunikation, Energie, Wasser; auch Guam)
  • KV-Botnet aus kompromittierten SOHO-Routern (2024 vom FBI gestört)

Angriffstechniken (TTPs)

  • Initial Access: Exploits gegen Edge-Geräte (Firewalls, VPNs, Router), dann fast ausschließlich Living-off-the-Land – keine Malware, nur legitime Windows-Bordmittel.
    • MITRE: T1190, T1059, T1078, T1090
  • Tarnung: kompromittierte SOHO-Router als Proxy-Botnet (KV-Botnet), um Herkunft zu verschleiern.

Technologie & Malware

Vorgehen: kaum Malware – nutzt netsh, PowerShell, WMI und gültige Konten (LOTL), um in Log-Rauschen zu verschwinden.

Ziel: nicht Datendiebstahl, sondern verdecktes Verweilen in KRITIS für eine mögliche Sabotage im Konfliktfall.

Indicators of Compromise (IOCs)

  • Muster: Living-off-the-Land (netsh, PowerShell, WMI), kompromittierte SOHO-Router (KV-Botnet)
  • Kaum Malware: Erkennung erfordert Verhaltensanalyse, nicht Signaturen
  • Advisory: CISA/FBI/NSA 2024 (Pre-Positioning in KRITIS)

Was Unternehmen jetzt prüfen sollten

  • Verhaltensbasierte Erkennung statt reiner Signatur-AV – LotL fällt nur im Verhalten auf
  • Baselining: Welche Admin-Tools sind wann und von wem normal?
  • Credential-Hygiene: Passwortwechsel und Session-Invalidierung nach Verdacht
  • Randgeräte (Router, Firewalls) auf Kompromittierung und EoL-Status prüfen

Wie Argos unterstützt

Verhaltensbasierte 24/7-Erkennung im Cyber Defense Center, Threat Hunting nach Living-off-the-Land-Mustern und OT-Security für kritische Infrastrukturen.

Incident Response anfordern
IR-Retainer →Managed XDR →Alle Threat Actors →