Quem é o Volt Typhoon
O Volt Typhoon (também designado Bronze Silhouette, VOLTZITE, Vanguard Panda) é um grupo APT atribuído com elevada confiança a atores patrocinados pelo Estado chinês. A primeira atribuição pública foi feita pela Microsoft e pela CISA em maio de 2023. O grupo opera desde pelo menos 2021 e foca-se em acesso pré-posicionado em infraestruturas críticas de países adversários, posicionamento que se acredita ser de interesse estratégico para eventual perturbação em contexto de conflito geopolítico.
Técnicas relevantes (MITRE ATT&CK for ICS) para o modelo de ameaça
O grupo distingue-se pelo uso extensivo de técnicas "living-off-the-land" (LotL), usando ferramentas legítimas do sistema operativo para evitar deteção por soluções de segurança convencionais. O mapeamento abaixo é editorial: o Volt Typhoon está documentado sobretudo com técnicas ATT&CK Enterprise (CISA AA24-038A), não com um mapeamento oficial ao ATT&CK for ICS.
| Técnica MITRE | Descrição | Impacto |
|---|---|---|
T0819 | Exploit Public-Facing Application | Acesso inicial via VPN/firewall vulnerável |
T0891 | Hardcoded Credentials | Autenticação em equipamentos industriais com credenciais de fábrica |
T0812 | Default Credentials, PLC | Acesso a controladores industriais com passwords padrão |
T0869 | Standard Application Layer Protocol | C2 dissimulado em tráfego legítimo HTTPS/DNS |
T0853 | Scripting | PowerShell/WMI para movimento lateral sem malware binário |
Relevância para Portugal: A Dragos acompanha a atividade associada ao Volt Typhoon sob a designação VOLTZITE e documenta-a sobretudo em serviços de utilidade pública dos EUA. Não há evidência pública de presença do grupo em redes portuguesas, mas os operadores nacionais de energia, água e telecomunicações devem incluir este tipo de ator, e as suas técnicas, no seu modelo de ameaças.
Dados dos relatórios Dragos OT Cybersecurity Year in Review
- Edição 2026 (dados de 2025): 119 grupos de ransomware atingiram 3 300 organizações industriais, um aumento de 49% face aos 80 grupos de 2024.
- Edição 2026: 26 grupos de ameaças OT acompanhados pela Dragos, 11 dos quais ativos em 2025, incluindo 3 novos grupos (SYLVANITE, AZURITE e PYROXENE).
- Edição 2025 (dados de 2024): 23 grupos de ameaças OT acompanhados, 9 dos quais ativos, e 1 693 ataques de ransomware a organizações industriais, um aumento de 87%.
Implicações para operadores portugueses de setores críticos
À luz das obrigações do DL 125/2025 e das evidências dos relatórios da Dragos, os operadores portugueses dos setores de energia, água e telecomunicações devem priorizar:
Segmentação de rede Purdue (OT/IT)
A segmentação entre os níveis L0-L2 (campo, controlo, supervisão) e L3-L4 (MES, enterprise) é o controlo mais eficaz contra movimento lateral após comprometimento inicial. A presença documentada de Volt Typhoon em redes OT demonstra que firewalls perimetrais insuficientemente configurados permitem progressão desde a rede corporativa até ao ambiente industrial.
MFA phishing-resistant em acessos administrativos
O grupo explora sistematicamente equipamentos de perímetro e interfaces de acesso remoto vulneráveis, usando credenciais válidas para se manter na rede. A implementação de MFA resistente a phishing (FIDO2/WebAuthn, certificados de hardware) em todos os acessos administrativos a sistemas OT deve ser tratada como urgente.
Auditoria e substituição de credenciais padrão
A técnica T0812 (Default Credentials em PLCs) é trivialmente evitável mas frequentemente ignorada em ambientes industriais onde a interoperabilidade de equipamentos é prioritária. Um inventário completo de ativos OT com verificação de credenciais padrão deve ser realizado com caráter urgente.
Referência NIS2: O art. 21.º, n.º 2, alínea i), da Diretiva NIS2 prevê a "segurança dos recursos humanos, políticas de controlo de acesso e gestão de ativos"; no DL 125/2025 a medida consta do art. 27.º, alínea h). Os TTPs do Volt Typhoon exploram precisamente estas lacunas.