Los principales objetivos del grupo son el espionaje cibernético y la exfiltración de datos. Sus operaciones están diseñadas para:

• Robar propiedad intelectual de objetivos corporativos.

• Recopilar inteligencia sobre funcionarios gubernamentales e infraestructura militar.

• Realizar contrainteligencia infiltrándose en sistemas de aplicación de la ley e inteligencia.

• Posicionarse previamente dentro de infraestructura crítica para una posible disrupción futura.

Salt Typhoon es un maestro de "vivir de lo que ya está ahí", usando herramientas legítimas y utilidades de red integradas para evadir la detección. Las técnicas clave incluyen:

• Explotación de vulnerabilidades: Explotan con frecuencia CVEs conocidos en firewalls, VPNs y routers de proveedores como Cisco, Palo Alto Networks e Ivanti.

• Robo de credenciales: El grupo usa herramientas para recolectar credenciales, a menudo a partir de capturas de paquetes de tráfico de autenticación (como TACACS+).

• Movimiento lateral: Tras obtener un punto de apoyo persistente, se desplazan por las redes usando credenciales comprometidas y conexiones de confianza entre proveedores.

• Contenedorización: Se ha observado que usan contenedores virtualizados en dispositivos de red (como Guest Shell de Cisco) para ocultar sus herramientas y actividades.

El grupo sigue un proceso metódico para infiltrarse y permanecer dentro de las redes objetivo:

1. Acceso inicial 

• Explota aplicaciones expuestas al público y dispositivos del borde de la red.

2. Persistencia 

• Crea cuentas nuevas, modifica las listas de control de acceso (ACL), habilita SSH en puertos no estándar y crea túneles encubiertos.

3. Recolección 

• Usa herramientas nativas de captura de paquetes en los routers para espiar el tráfico de red y modifica las configuraciones del servidor TACACS+ para interceptar credenciales.

4. Exfiltración 

• Aprovecha canales de comando y control (C2) separados y túneles de protocolo (GRE, IPsec) para exfiltrar los datos robados.