Volt Typhoon провела четыре кампании с уязвимостями нулевого дня через скрытую сеть Silent Train

Исследователи Black Lotus Labs из Lumen Technologies опубликовали отчёт о Silent Train, скрытой сети доступа, которую они приписывают китайской шпионской группировке Volt Typhoon. Сейчас работа сети нарушена. По словам исследователей, Silent Train впервые заметили в конце 2023 года. Сеть строилась из сменяющих друг друга цепочек взломанных SOHO-роутеров, IoT-устройств и корпоративного оборудования. Операторы применяли антикриминалистические приёмы, разделяли операции на изолированные части и подчищали следы после каждой из них.

Через сеть проходили ключевые этапы атак: эксплуатация уязвимостей, кража учётных данных, вывод данных и сохранение доступа к инфраструктуре жертв. Злоумышленники выбирали организации, через которые можно добраться до их клиентов, закрытых сетей или стратегических программ. Особый интерес у них вызывали системы управления конечными точками и сетями, оркестраторы SD-WAN и технологии уровня управления (control plane). Исследователи насчитали сотни жертв: операторов связи, госструктуры, оборонных подрядчиков, спутниковые службы, университеты, ИТ-компании, а также объекты водоснабжения, энергетики, транспорта и экстренных служб.

Четыре уязвимости нулевого дня

Ранее уже было известно, что Volt Typhoon эксплуатировала уязвимость в Versa Director (CVE-2024-39717) и устанавливала через неё веб-шелл VersaMem. По данным Black Lotus Labs, это лишь одна из четырёх подтверждённых кампаний, проведённых через Silent Train. Остальные три затронули:

• N-able N-central: небезопасная десериализация и внедрение команд (CVE-2025-8875 и CVE-2025-8876);
• Cisco Catalyst SD-WAN Controller: обход аутентификации (CVE-2026-20127);
• Arista VeloCloud Orchestrator: внедрение команд ОС (CVE-2026-16812).

Кроме того, группировку подозревают в эксплуатации вероятной уязвимости нулевого дня в Quest KACE до выхода исправления в октябре 2025 года. От этой кампании, по оценкам, пострадали более 30 организаций.

Одноразовые цепочки

Silent Train начала формироваться около ноября 2023 года, за несколько недель до первой операции против ботнета KV-botnet, связанного с Volt Typhoon. После второй операции, в конце января 2024 года, активность сети резко выросла. Группировка отказалась от постоянной инфраструктуры и перешла на одноразовые цепочки, которые при необходимости собирались заново.

Трафик проходил через несколько звеньев. Сначала шли временные VPS за пределами США, затем взломанные SOHO- и IoT-устройства в разных странах, а последним звеном служили устройства на территории США. Так атаки обходили геофильтры и чёрные списки IP-адресов. В сеть попали не менее 27 классов устройств: от TP-Link, Intelbras, NETGEAR и Zyxel до Fortinet, Cisco и PRTG. Сеансы длились в среднем около четырёх часов, а после их завершения операторы удаляли все артефакты.

У отдельных устройств были постоянные роли. Модемы Intelbras использовались только как ретрансляторы, а Netgear Orbi и Fortinet FortiGate работали как американские промежуточные и выходные узлы. К началу 2025 года архитектура стала гибридной: корпоративные устройства оставались в сети в среднем от одного до трёх месяцев. Позднее появились варианты с обратными туннелями на базе Chisel и FRP.

В США атаки сосредоточились на Гавайях, в Калифорнии и Техасе, где расположены крупные военные объекты, телекоммуникационная инфраструктура и оборонные подрядчики. По оценке исследователей, группировка целенаправленно поддерживала доступ к системам, важным на случай кризиса в Индо-Тихоокеанском регионе.

Источник: The Hacker News