Киберзлоумышленники, связанные с Китаем, все чаще используют крупномасштабные сети скомпрометированных устройств, известные как скрытые сети, для маскировки своей вредоносной деятельности. Этот сдвиг в тактиках, методах и процедурах (TTP) отходит от индивидуально приобретаемой инфраструктуры. Эти скрытые сети в основном состоят из скомпрометированных маршрутизаторов для малого офиса/домашнего офиса (SOHO), устройств Интернета вещей (IoT) и умных устройств. Такие сети позволяют злоумышленникам проводить кибероперации с низкими затратами, низким риском и возможностью отрицания, что затрудняет атрибуцию. Они используются на всех этапах киберцепочки убийства, от разведки до доставки вредоносного ПО и эксфильтрации данных. Имеющиеся данные свидетельствуют о том, что китайские компании, занимающиеся информационной безопасностью, создают и поддерживают эти скрытые сети. Например, сеть Raptor Train, заразившая более 200 000 устройств, управлялась Integrity Technology Group. KV Botnet, используемый Volt Typhoon, состоял в основном из уязвимых устаревших маршрутизаторов. Старые оборонительные парадигмы, основанные на списках статических IP-адресов, становятся менее эффективными из-за динамичного и распределенного характера этих ботнетов. Защитники должны адаптироваться, картируя сетевые периферийные устройства, устанавливая базовые показатели нормальных соединений и используя информацию об угрозах. Внедрение многофакторной аутентификации и использование списков разрешенных IP-адресов или географических местоположений являются важными мерами защиты. Более крупные или более подверженные риску организации могут дополнительно повысить безопасность за счет политик нулевого доверия и сокращения своей внешней ИТ-инфраструктуры. Активная охота и отслеживание этих скрытых сетей как отдельных угроз рекомендуются для наиболее целевых организаций. Комплексные передовые методы кибербезопасности остаются основополагающими в защите от этих развивающихся угроз.