Volt Typhoon: la red Silent Train y los zero-day en las consolas

Después del aviso AA26-281A sobre los actores vinculados a Integrity Tech, el 28 de octubre de 2026 Black Lotus Labs, la división de investigación de Lumen Technologies, publicó un informe sobre otro grupo vinculado al Estado chino, Volt Typhoon, y sobre la red que usa para ocultar sus operaciones más delicadas: Silent Train.

No es una botnet estable, sino una serie de cadenas de dispositivos comprometidos, montadas bajo demanda, usadas contra pocos objetivos, limpiadas al final de cada sesión y renovadas continuamente. Black Lotus Labs la sigue desde hace tres años, ha enviado cientos de notificaciones a las víctimas y ha observado la explotación de cuatro zero-day confirmados y uno probable en plataformas de gestión centralizada.

Cómo es una cadena

Según el informe, recogido por varios medios, cada sesión parte de un servidor privado virtual fuera de Estados Unidos, pasa por otro servidor y por routers SOHO, dispositivos domésticos e IoT comprometidos en otros países, y sale por último de un dispositivo en Estados Unidos, cerca del objetivo. Así el tráfico parece local y supera los bloqueos geográficos y los filtros de reputación de las direcciones IP. De media, las cadenas atraviesan unos cuatro dispositivos antes de una dirección estadounidense, con un máximo de seis.

Los principales detalles técnicos:

• Más de 27 clases de dispositivos: al principio sobre todo SOHO e IoT (TP-Link, Netgear, Intelbras, Zyxel, Ruckus, Cambium), comprometidos a través de interfaces web expuestas; desde principios de 2025 también plataformas empresariales como Fortinet, Cisco, PRTG, Mirth Connect y CyberPanel como último salto antes de la víctima, mantenidas de uno a tres meses.
• Herramientas mínimas: servicios SSH temporales, claves, archivos de configuración y utilidades ya presentes en el sistema (living off the land), todo eliminado al final de la sesión. Más tarde aparecieron también túneles inversos con los proxies de código abierto Chisel y FRP, en paralelo al encadenamiento SSH.
• Roles fijos: los módems Intelbras solo aparecen como relés en el extranjero, los Netgear Orbi solo como saltos estadounidenses en contacto con las víctimas; también los proveedores de VPS están separados por capa.
• Velocidad: una nueva cadena se construye en menos de dos minutos, señal de un proceso al menos en parte automatizado. Las sesiones duran de media unas cuatro horas según CyberScoop y Security Affairs; BleepingComputer escribe «normalmente menos de ocho horas».
• Algunos dispositivos usados como relé no tienen vulnerabilidades conocidas: para los investigadores, el grupo podría haber usado exploits nunca divulgados solo para crear un eslabón de la cadena.

Silent Train sirve solo para las fases clave: explotación, robo de credenciales, exfiltración y acceso continuado; el reconocimiento pasa por otra infraestructura. Cada sesión afecta a entre una y cinco víctimas, a menudo solo una. Según Security Affairs, los operadores trabajan a mano, de lunes a viernes entre las 9 y las 22, hora de China.

La red apareció a finales de 2023, poco antes del desmantelamiento de la KV-botnet por parte del FBI, y su uso creció después (diciembre de 2023 según Help Net Security, principios de 2024 según CyberScoop).

Los zero-day y las plataformas afectadas

El objetivo son las plataformas del plano de control: gestión de endpoints y de la red, orquestadores SD-WAN. Desde ahí los atacantes llegan a cientos o miles de dispositivos y a los clientes finales sin movimiento lateral, y por tanto con menos rastros.

• Versa Director, CVE-2024-39717 (2024): webshell JAR en memoria para limitar las pruebas forenses y llegar a los clientes finales.
• N-able N-central, CVE-2025-8875 y CVE-2025-8876.
• Cisco Catalyst SD-WAN, CVE-2026-20127, CVSS 10.0: según Security Affairs, la explotación continuó incluso después de la publicación de Cisco, en febrero de 2026.
• VeloCloud Orchestrator, CVE-2026-16812.
• Quest KACE, zero-day probable (evaluación con confianza moderada): más de 30 víctimas, campaña en descenso tras las actualizaciones de Quest de octubre de 2025; el actor se quedó en el servidor KACE y usó sus funciones de administración para recopilar credenciales.

Tras los incidentes, los socios encontraron webshells en memoria, recopilación de credenciales, abuso de funciones nativas (control de endpoints, transferencia remota de archivos) y registros borrados o alterados. El grupo atacó también tecnologías de Fortinet, Cisco, ManageEngine, Ivanti, F5, Check Point, Palo Alto Networks, ServiceNow y ArcGIS, sin que siempre fuera posible determinar si con vulnerabilidades conocidas o desconocidas.

Help Net Security recoge además un análisis de Cisco Talos publicado el mismo día: el grupo UAT-11473, cuya infraestructura se solapa en gran parte con Silent Train, explotó la CVE-2026-20127 en los controladores Cisco Catalyst SD-WAN para instalar KeyDrift, un framework que mantiene el acceso y exfiltra los metadatos de las sesiones de control y el material criptográfico del plano de datos.

Impacto para las empresas europeas e italianas

Las víctimas citadas están en Estados Unidos (Hawái, California y Texas a la cabeza): telecomunicaciones, organismos gubernamentales, defensa, comunicaciones por satélite y de emergencia, universidades, MSP y empresas de TI, agua, energía, transporte, aviación. Para los investigadores, el cuadro es coherente con un preposicionamiento ante una crisis en el Indo-Pacífico. Las fuentes no citan víctimas en Europa, pero los dispositivos usados como relé son comunes en todas partes: un router o un firewall italiano puede convertirse en un eslabón de la cadena contra terceros. Para los sujetos NIS2, y para los MSP, el compromiso de una consola que llega a clientes y socios debe evaluarse también a efectos de notificación.

Qué hacer ahora

1. Saca de Internet las consolas de gestión, los orquestadores SD-WAN y los portales de administración: ponlos detrás de una VPN, un jump host o una red de gestión dedicada.
2. Actualiza primero las plataformas del plano de control, empezando por las CVE indicadas.
3. Centraliza los registros en un sistema separado y consérvalos más tiempo: los atacantes borran los locales.
4. Busca actividad administrativa inusual en los servidores de gestión y en lo que hacen a los endpoints, y revisa las conexiones de confianza con clientes y socios.
5. Controla el tráfico saliente de tus dispositivos de borde: SSH hacia hosts desconocidos, túneles Chisel o FRP y puertos altos inusuales pueden indicar que uno de tus equipos hace de relé.
6. No confíes en las listas de IP: las direcciones de la cadena caducan en pocas horas. Sigue las indicaciones de CISA y NCSC sobre Volt Typhoon.

Cómo ayuda ARXDOME

ARX Expose y ARX Scout muestran los servicios y los paneles de administración expuestos en Internet, con las vulnerabilidades conocidas. ARX Sentry recoge los registros de firewalls y dispositivos de red y agrupa ejecuciones sospechosas, persistencia y cambios en las cuentas; ARX Retain guarda una copia en el archivo a largo plazo, donde no se puede modificar ni borrar. ARX Shield aísla de la red una máquina sospechosa.

Última actualización: 30 de octubre de 2026