Китайската група Volt Typhoon е изградила сложна оперативна инфраструктура, наречена Silent Train, чрез която прикрива проникванията си в стратегически важни организации. Според изследване на Black Lotus Labs кампанията включва експлоатация на уязвимости от нулев ден, компрометирани маршрутизатори и IoT устройства, както и корпоративни платформи за централизирано управление.

Три години наблюдение разкриват мащаба на операцията

Изследователското звено Black Lotus Labs на Lumen Technologies публикува подробен анализ на инфраструктурата Silent Train, използвана от Volt Typhoon за прикриване на злонамерена активност и поддържане на достъп до мрежи на организации в САЩ.

Операцията е наблюдавана повече от три години, като първоначално е идентифицирана през ноември 2023 г. Основният ѝ механизъм е бързо сменяща се верига от компрометирани устройства за малки офиси и домашни мрежи (SOHO), устройства от интернет на нещата (IoT) и корпоративни системи. Те служат като междинни точки, през които се пренасочва трафикът към крайните цели.

По данни на Black Lotus Labs наблюдението е довело до уведомяването на стотици потенциални жертви и до разследвания, установили четири потвърдени и една вероятна кампания с експлоатация на уязвимости от нулев ден. Засегнатите технологии включват системи за управление на мрежи и крайни устройства, SD-WAN оркестратори и други централизирани платформи за контрол.

Сред засегнатите организации са телекомуникационни оператори, държавни структури, отбранителни изпълнители, доставчици на сателитни комуникации, управлявани ИТ услуги и организации от секторите на водоснабдяването, енергетиката, транспорта, морския транспорт, железопътния транспорт, авиацията и спешните служби.

Silent Train прикрива произхода на атаките чрез многостепенна инфраструктура

Архитектурата на Silent Train разчита на последователно пренасочване през няколко междинни системи. Според описанието на Black Lotus Labs типичната верига започва с временни виртуални частни сървъри извън САЩ, преминава през допълнителна VPS инфраструктура и компрометирани SOHO и IoT устройства в други държави, а след това използва устройства на територията на САЩ като последна точка преди достигането до жертвата.

Този модел затруднява проследяването на действителния източник на трафика и позволява злонамерената активност да изглежда като комуникация от легитимни устройства и мрежи. Така се намалява ефективността на географските ограничения и филтрите, базирани на репутацията на IP адресите.

Black Lotus Labs е установила повече от 27 типа устройства, използвани в операциите. Сред тях са маршрутизатори TP-Link, устройства Netgear Orbi, Intelbras, Ruckus, SATO, Zyxel и Cambium, както и оборудване Fortinet.

Нападателите са използвали изложени към интернет уеб интерфейси, за да получат достъп до устройствата. След това са създавали временни SSH връзки или обратни тунели, като са инсталирали само необходимите инструменти за изграждане на следващите звена от веригата. В края на сесиите са премахвали временните файлове, ключове и конфигурации, за да ограничат възможностите за последващ криминалистичен анализ.

Средната продължителност на една сесия е около четири часа, макар че някои са траели само минути.

От домашни маршрутизатори към корпоративни платформи

Важна промяна в развитието на Silent Train е включването на корпоративни системи. Първоначално инфраструктурата е разчитала основно на SOHO и IoT устройства, които са били използвани за отделни операции и след това връщани в предварителното си състояние.

По-късно към модела са добавени платформи като Fortinet, Cisco, PRTG, Mirth Connect и CyberPanel. Те не заменят традиционните междинни устройства, а допълват веригата или поемат ролята на последна точка за достъп до жертвите.

За разлика от краткотрайно използваните маршрутизатори и IoT устройства, компрометираните корпоративни платформи са оставали активни между един и три месеца. Това е позволявало използването им при множество прониквания, преди да бъдат заменени.

До началото на 2025 г. Silent Train вече е представлявала хибридна инфраструктура, която съчетава краткотрайни междинни точки с по-дългосрочен достъп до корпоративни системи. В някои случаи между операторите и крайната жертва са установени до шест междинни звена.

Изследователите са наблюдавали и използването на обратни тунели чрез инструменти с отворен код като Chisel и FRP. При този подход компрометираните устройства установяват връзки към инфраструктурата нагоре по веригата, вместо да предоставят временни SSH услуги за последователно преминаване през всяка точка.

Black Lotus Labs отбелязва и последователно разпределение на ролите между различните типове устройства. Например Intelbras модеми са използвани като междинни точки извън САЩ, докато Netgear Orbi са изпълнявали ролята на американски крайни звена, които комуникират с жертвите. Подобна сегментация е наблюдавана и при останалите типове устройства и доставчици на VPS услуги.

Централизираните системи за управление са основна цел

Silent Train не е била използвана за всички етапи от дейността на Volt Typhoon. Според анализа тя е запазена основно за критичните фази на проникването – експлоатация на уязвимости, достъп до идентификационни данни, извличане на информация и поддържане на достъп до средата на жертвата.

Изборът на цели е бил селективен. Обикновено една сесия е обхващала между една и пет организации, като често фокусът е бил върху конкретна структура, която осигурява достъп до множество клиенти, партньори или свързани мрежи.

Особен интерес представляват платформите за централизирано управление на мрежи и крайни устройства, SD-WAN оркестраторите и други технологии от контролния слой. Black Lotus Labs посочва продукти и системи на Fortinet, Cisco, ManageEngine, Ivanti, F5, Check Point, Palo Alto, ServiceNow и ArcGIS сред технологиите, към които е насочена активността.

Компрометирането на подобни платформи осигурява на нападателите значителна видимост и административни възможности в големи корпоративни среди. Вместо да проникват в множество отделни системи и да изграждат последователно достъп до тях, атакуващите могат да използват вече съществуващите привилегии и връзки на централизираната платформа.

Това позволява достигане до множество свързани системи и клиенти с по-малко взаимодействия с отделни хостове и по-малко следи от традиционно странично придвижване в мрежата.

Изследователите подчертават, че телеметричните данни невинаги позволяват да се установи дали достъпът е постигнат чрез известна или все още непубликувана уязвимост. Именно продължителното наблюдение на Silent Train обаче е помогнало за идентифицирането на четири потвърдени и една вероятна кампания с експлоатация на уязвимости от нулев ден.

Операциите следват човешки работен график

Друг интересен елемент от анализа е времевият модел на активност. Сесиите са концентрирани предимно от понеделник до петък, между 09:00 и 22:00 часа китайско стандартно време. Наблюдава се ограничена активност през нощта и почивните дни, както и спад за няколко седмици около Китайската нова година.

Този модел, заедно със селективния избор на цели и внимателно организираните вериги от устройства, според Black Lotus Labs е съвместим с операции, управлявани от хора, а не с изцяло автоматизирана инфраструктура.

Хавай, Калифорния и Тексас са сред регионите, които последователно се открояват като най-често атакувани. Изследователите свързват това с концентрацията на телекомуникационни, логистични, отбранителни и критични инфраструктурни организации, които имат стратегическо значение за операциите на САЩ в Индо-Тихоокеанския регион.

Защитата трябва да започва от системите с най-широки привилегии

Основният извод от изследването е, че системите за централизирано управление могат да се превърнат в особено ценна входна точка за добре подготвени нападатели. Компрометирането на една такава платформа може да осигури видимост и административен достъп до значително по-широка среда, включително до инфраструктурата на клиенти и партньори.

Black Lotus Labs препоръчва организациите да ограничат достъпа до административните интерфейси от интернет, като използват VPN, контрол на достъпа, междинни хостове (jump hosts) или отделни мрежи за управление. Особен приоритет трябва да имат актуализациите на мрежовите и endpoint системите за управление, SD-WAN оркестраторите и останалите централизирани платформи.

Необходимо е също редовно да се преглеждат административните права, доверените връзки и разрешенията за достъп до свързани системи. Събирането и съхранението на логове трябва да обхваща особено внимателно системите с повишени привилегии и публично изложените административни услуги.

Сред сигналите, които заслужават внимание, са необичайни администраторски влизания, нетипична употреба на API, дистанционни трансфери на файлове, промени в конфигурациите и дейности по мрежово или endpoint администриране извън обичайните работни процеси.

Silent Train показва как компрометирането на сравнително малък брой междинни устройства може да осигури прикрит достъп до организации със значително по-голям стратегически и оперативен мащаб. Затова защитата не трябва да се ограничава до крайните устройства и периметъра на мрежата. Централизираните системи, които управляват инфраструктурата и предоставят достъп до множество свързани организации, трябва да бъдат третирани като приоритетни активи.