Китайската държавно подкрепяна хакерска група Volt Typhoon използва оперативна рамка, наречена Silent Train, която изгражда променящи се вериги от компрометирани устройства, за да прикрива произхода на атаките си. Според Black Lotus Labs, изследователското звено на Lumen, групата използва тази инфраструктура от поне три години, включително за атаки с най-малко четири уязвимости от тип „нулев ден“.
Silent Train е предназначена за ограничен брой високостойностни цели. След всяка операция нападателите премахват използваните инструменти и конфигурации, а мрежата от междинни устройства се обновява непрекъснато. Така се затруднява проследяването на атаките и откриването на постоянни индикатори за компрометиране.
Според изследователите сред засегнатите сектори са телекомуникациите, държавната администрация, отбранителните компании, образованието, енергетиката и други критични услуги, сателитните оператори, ИТ компаниите, доставчиците на управлявани услуги (MSP), транспортът, авиацията и службите за спешна помощ. Наблюдаваната активност е концентрирана най-вече в Калифорния, Тексас и Хавай.
Атакуващите маршрутизират трафика през виртуални частни сървъри извън САЩ, а след това през компрометирани устройства, включително рутери и други мрежови продукти. Black Lotus Labs посочва модеми Intelbras като междинни възли извън САЩ и устройства Netgear Orbi като част от веригата на американска територия.
Разгръщането на Silent Train се свързва отчасти с прекъсването на ботнета KV-Botnet от ФБР. Volt Typhoon е използвала тази инфраструктура, за да прикрива действията си при прониквания в критични системи. Новата рамка позволява на групата да съчетава краткотрайни междинни възли с компрометирани корпоративни системи, които могат да останат под неин контрол между един и три месеца.
Black Lotus Labs е наблюдавала експлоатация на уязвимости в Arista VeloCloud Orchestrator (CVE-2026-16812), Cisco Catalyst SD-WAN (CVE-2026-20127), N-able N-central (CVE-2025-8875 и CVE-2025-8876) и Versa Director (CVE-2024-39717). Изследователите подозират и атака чрез уязвимост от тип „нулев ден“ в Quest KACE.
Компрометирането на системи за централизирано управление е особено опасно, защото може да осигури административен достъп, кражба на идентификационни данни и възможност за проникване в мрежите на клиенти и партньори. Този подход може да намали видимите признаци на движение между системите и да затрудни засичането на атаката.
Според анализа сесиите през временните междинни устройства обикновено продължават под осем часа, след което нападателите премахват използваните SSH услуги, ключове и конфигурационни файлове. Операциите са целенасочени и изискват активно участие на операторите, което според изследователите предполага внимателен подбор на жертвите.
Black Lotus Labs препоръчва организациите да ограничат достъпа от интернет до административните интерфейси, да прилагат своевременно корекциите за сигурност и да съхраняват централизирано логовете за по-дълъг период. Необходимо е също да се следи за необичайна административна активност и да се преглеждат доверените връзки, които могат да осигурят достъп до мрежите на клиенти или партньори. Препоръчва се и прилагане на насоките на CISA и NCSC за противодействие на Volt Typhoon.
