Volt Typhoon, связанная с Китаем группа кибершпионажа, использовала сеть скрытого доступа Silent Train для эксплуатации уязвимостей нулевого дня и закрепления в стратегически важных сетях. О её ликвидации сообщила лаборатория Black Lotus Labs компании Lumen Technologies. Сеть впервые обнаружили в конце 2023 года: она строилась на сменных цепочках взломанных домашних маршрутизаторов, IoT-устройств и корпоративного оборудования.
Silent Train помогала атакующим проходить разные этапы операции: использовать уязвимости, получать учётные данные, похищать информацию и сохранять доступ к инфраструктуре жертвы. В первую очередь группа интересовалась организациями, через которые можно было выйти на множество клиентов, чувствительные сети или важные программы. Среди приоритетных технологий были системы управления конечными устройствами и сетями, оркестраторы SD-WAN и другие компоненты плоскости управления.
Black Lotus Labs выявила сотни пострадавших. Среди них телекоммуникационные компании, государственные учреждения, оборонные подрядчики, университеты, ИТ-фирмы, операторы спутниковой и критически важной связи. Под атаками оказались также водоснабжение, энергетика, транспорт, морская и железнодорожная отрасли, авиация и службы экстренной помощи.
Volt Typhoon действует как минимум с 2021 года и известна атаками на связь, энергетику, транспорт, водоснабжение и системы очистки сточных вод. В отчётах группу также называют Bronze Silhouette, Insidious Taurus, UNC3236, Vanguard Panda и Voltzite. Ранее известная атака на Versa Director, по данным Black Lotus Labs, была одной из четырёх подтверждённых кампаний нулевого дня, проведённых через Silent Train:
[]N-able N-central, CVE-2025-8875 и CVE-2025-8876. Использовались уязвимости небезопасной десериализации и внедрения команд.
[]Cisco Catalyst SD-WAN Controller, CVE-2026-20127. Уязвимость позволяла обходить аутентификацию.
[]Arista VeloCloud Orchestrator, CVE-2026-16812. Уязвимость давала возможность выполнять команды операционной системы.
Отдельно Volt Typhoon подозревали в использовании вероятной уязвимости нулевого дня в Quest KACE до выхода исправления в октябре 2025 года. По оценке исследователей, эта кампания затронула более 30 жертв.
Silent Train начала складываться примерно в ноябре 2023 года, за несколько недель до первой операции по нарушению работы KV-botnet. Этот ботнет заражённых IoT-устройств связывали с несколькими спонсируемыми государством группами, связанными с Китаем, включая Volt Typhoon. После второго вмешательства против KV-botnet в конце января 2024 года активность Silent Train, как сообщается, резко выросла. Сеть стала чаще использовать краткоживущую инфраструктуру из устройств разных типов и стран. Вместо постоянных серверов операторы собирали одноразовые цепочки и при необходимости создавали новые. К началу 2025 года схема, вероятно, стала гибридной: часть корпоративных устройств оставалась в сети в среднем на один-три месяца. Позже появились варианты обратного туннелирования с открытыми прокси Chisel и FRP.
Black Lotus Labs описала Silent Train как «многоуровневую систему с несколькими переходами». Обычно трафик проходил через временные VPS-серверы за пределами США, затем через взломанные домашние маршрутизаторы и IoT-устройства в других странах, а перед выходом на американскую цель — через устройства, находившиеся уже в США. Такая цепочка скрывала исходную точку атаки и помогала обходить географические фильтры и блок-листы по репутации IP-адресов.
В сеть включили не менее 27 классов устройств. Среди бытового и IoT-оборудования исследователи назвали TP-Link, Intelbras, Ruckus Wireless, SATO, NETGEAR, Zyxel и Cambium; среди корпоративных платформ — Fortinet, Cisco, PRTG, Mirth Connect и CyberPanel. Устройства выполняли разные функции: модемы Intelbras встречались только как ретрансляторы, а Netgear Orbi и Fortinet FortiGate служили промежуточными узлами и точками выхода в США, через которые операторы связывались с жертвами. Такое разделение сохраняло функциональные роли даже при смене остальной инфраструктуры.
Для доступа к узлам атакующие использовали открытые веб-интерфейсы. Они устанавливали только необходимые компоненты для цепочек SSH: временные службы, ключи, конфигурационные файлы и штатные системные утилиты. После завершения работы следы удаляли, а цепочку разбирали. Сессия длилась в среднем около четырёх часов, хотя некоторые операции занимали всего несколько минут. Black Lotus Labs отмечает, что Silent Train опиралась на короткие, самостоятельно управляемые сессии, а не на постоянные ретрансляторы или инфраструктуру командования.
В США активность концентрировалась на Гавайях, в Калифорнии и Техасе. В этих штатах сосредоточены крупные военные объекты, телекоммуникационные сети, оборонные подрядчики, операторы спутниковой связи и важные логистические узлы. По оценке Black Lotus Labs, выбор целей указывает на стремление сохранить доступ к экосистемам, поддерживающим оборону, логистику, связь, а также военные и гражданские операции, особенно во время обострения напряжённости в Индо-Тихоокеанском регионе. Silent Train позволяла Volt Typhoon искать такой доступ в больших масштабах, одновременно затрудняя обнаружение и установление источника атак.
Silent Train помогала атакующим проходить разные этапы операции: использовать уязвимости, получать учётные данные, похищать информацию и сохранять доступ к инфраструктуре жертвы. В первую очередь группа интересовалась организациями, через которые можно было выйти на множество клиентов, чувствительные сети или важные программы. Среди приоритетных технологий были системы управления конечными устройствами и сетями, оркестраторы SD-WAN и другие компоненты плоскости управления.
Black Lotus Labs выявила сотни пострадавших. Среди них телекоммуникационные компании, государственные учреждения, оборонные подрядчики, университеты, ИТ-фирмы, операторы спутниковой и критически важной связи. Под атаками оказались также водоснабжение, энергетика, транспорт, морская и железнодорожная отрасли, авиация и службы экстренной помощи.
Volt Typhoon действует как минимум с 2021 года и известна атаками на связь, энергетику, транспорт, водоснабжение и системы очистки сточных вод. В отчётах группу также называют Bronze Silhouette, Insidious Taurus, UNC3236, Vanguard Panda и Voltzite. Ранее известная атака на Versa Director, по данным Black Lotus Labs, была одной из четырёх подтверждённых кампаний нулевого дня, проведённых через Silent Train:
- []
[]N-able N-central, CVE-2025-8875 и CVE-2025-8876. Использовались уязвимости небезопасной десериализации и внедрения команд.
[]Cisco Catalyst SD-WAN Controller, CVE-2026-20127. Уязвимость позволяла обходить аутентификацию.
[]Arista VeloCloud Orchestrator, CVE-2026-16812. Уязвимость давала возможность выполнять команды операционной системы.
Отдельно Volt Typhoon подозревали в использовании вероятной уязвимости нулевого дня в Quest KACE до выхода исправления в октябре 2025 года. По оценке исследователей, эта кампания затронула более 30 жертв.
Silent Train начала складываться примерно в ноябре 2023 года, за несколько недель до первой операции по нарушению работы KV-botnet. Этот ботнет заражённых IoT-устройств связывали с несколькими спонсируемыми государством группами, связанными с Китаем, включая Volt Typhoon. После второго вмешательства против KV-botnet в конце января 2024 года активность Silent Train, как сообщается, резко выросла. Сеть стала чаще использовать краткоживущую инфраструктуру из устройств разных типов и стран. Вместо постоянных серверов операторы собирали одноразовые цепочки и при необходимости создавали новые. К началу 2025 года схема, вероятно, стала гибридной: часть корпоративных устройств оставалась в сети в среднем на один-три месяца. Позже появились варианты обратного туннелирования с открытыми прокси Chisel и FRP.
Black Lotus Labs описала Silent Train как «многоуровневую систему с несколькими переходами». Обычно трафик проходил через временные VPS-серверы за пределами США, затем через взломанные домашние маршрутизаторы и IoT-устройства в других странах, а перед выходом на американскую цель — через устройства, находившиеся уже в США. Такая цепочка скрывала исходную точку атаки и помогала обходить географические фильтры и блок-листы по репутации IP-адресов.
В сеть включили не менее 27 классов устройств. Среди бытового и IoT-оборудования исследователи назвали TP-Link, Intelbras, Ruckus Wireless, SATO, NETGEAR, Zyxel и Cambium; среди корпоративных платформ — Fortinet, Cisco, PRTG, Mirth Connect и CyberPanel. Устройства выполняли разные функции: модемы Intelbras встречались только как ретрансляторы, а Netgear Orbi и Fortinet FortiGate служили промежуточными узлами и точками выхода в США, через которые операторы связывались с жертвами. Такое разделение сохраняло функциональные роли даже при смене остальной инфраструктуры.
Для доступа к узлам атакующие использовали открытые веб-интерфейсы. Они устанавливали только необходимые компоненты для цепочек SSH: временные службы, ключи, конфигурационные файлы и штатные системные утилиты. После завершения работы следы удаляли, а цепочку разбирали. Сессия длилась в среднем около четырёх часов, хотя некоторые операции занимали всего несколько минут. Black Lotus Labs отмечает, что Silent Train опиралась на короткие, самостоятельно управляемые сессии, а не на постоянные ретрансляторы или инфраструктуру командования.
В США активность концентрировалась на Гавайях, в Калифорнии и Техасе. В этих штатах сосредоточены крупные военные объекты, телекоммуникационные сети, оборонные подрядчики, операторы спутниковой связи и важные логистические узлы. По оценке Black Lotus Labs, выбор целей указывает на стремление сохранить доступ к экосистемам, поддерживающим оборону, логистику, связь, а также военные и гражданские операции, особенно во время обострения напряжённости в Индо-Тихоокеанском регионе. Silent Train позволяла Volt Typhoon искать такой доступ в больших масштабах, одновременно затрудняя обнаружение и установление источника атак.
