Volt Typhoon

Volt Typhoon, conocido también bajo otros muchos alias para no perder costumbre, es un actor amenaza relacionado con la República Popular China (RPC o People's Republic of China en inglés) activo desde al menos 2021. Según agencias de Estados Unidos como la NSA, CISA, el FBI y otras, el grupo se ha centrado en el compromiso de infraestructuras críticas en Estados Unidos, con un objetivo que los diferencia radicalmente de la mayoría de los APT chinos: la pre-posición en entornos OT/ICS para habilitar potenciales ataques destructivos.

El rasgo más distintivo de Volt Typhoon es su dependencia en técnicas de living-off-the-land (LotL). A diferencia de actores que despliegan implants sofisticados o malware customizado, Volt Typhoon utiliza herramientas y binarios del sistema operativo Windows para llevar a cabo sus operaciones, lo que obviamente dificulta notablemente su detección.

Para el robo de credenciales ha recurrido en el pasado a Mimikatz y combinado Kerberoasting, DCSync, pass-the-hash y pass-the-ticket para el movimiento lateral. La exfiltración de datos se orquesta principalmente a través de web shells, que son alojados en servidores web comprometidos o implantados en dispositivos edge vulnerables. En campañas posteriores se ha observado el uso de VersaMem para capturar credenciales en dispositivos Versa Director.

En lo referente a la última parte de su cadena de ataque, Volt Typhoon opera la KV botnet, que fue documentada por Black Lotus Labs a finales de 2023. Esta red se sustenta en routers que forman parte de los conocidos como "Small Office & Home Office" (SOHO) y actúan como proxies para ofuscar el origen del tráfico. El Departamento de Justicia Estadounidense desarticuló parcialmente esta botnet en enero de 2024, pero los buenos funcionarios de Volt la regeneraron en semanas. Por otra parte, también se ha destacado la explotación de CVE-2021-40539 y otras vulnerabilidades en appliances Zoho ManageEngine y Fortinet para la expansión de la KV botnet.

En septiembre de 2024, se identificó como "probable" que el grupo hubiera utilizado una red de nodos de retransmisión operativa (ORB), identificada como ORB10, para explotar una vulnerabilidad de omisión de autenticación en Telerik Report Server (CVE-2024-4358). Un mes antes, el grupo explotó la CVE-2024-27348, una vulnerabilidad crítica de ejecución de código remoto (RCE) en unas versiones específicas de Apache HugeGraph-Server, desde esa misma red ORB.

El acceso inicial lo ha proporcionado históricamente SYLVANITE (VOLTZITE), un clúster especializado en explotar dispositivos edge (firewalls, VPNs, appliances) mediante vulnerabilidades conocidas e incluso_zero-days_. SYLVANITE traspasa más tarde el acceso a Volt Typhoon para las fases más avanzadas de la cadena de ataque.

La evolución más reciente del grupo apuntaba a una sofisticación aún mayor. A lo largo de 2025, investigadores de CrowdStrike y Google Threat Intelligence documentaron que Volt Typhoon había comenzado a emplear infraestructura cloud legítima, incluyendo servicios de Microsoft Azure y AWS, para alojar web shells y tráfico C2. De esta manera el grupo conseguía emborronar aún más la línea entre tráfico malicioso y tráfico corporativo normal. El informe Cloudflare 2026 Threat Report señala a Volt Typhoon como uno de los actores con mayor crecimiento en el abuso de servicios cloud para operaciones de comando y control. A esto se suma la incorporación de herramientas de gestión remota legítimas como AnyDesk, TeamViewer y ScreenConnect para gestionar de manera adicional el acceso.

En conjunto, Volt Typhoon se presenta como una APT China relativamente estándar en lo que a capacidad, sofisticación y granularidad a la hora de conseguir objetivos respecta. Actualmente China es uno de los países con mayores capacidades en el mundo ciber, y en el convencional también, aunque a Trump le duela.