Volt Typhoon: la rete Silent Train e gli zero-day sulle console

Dopo l’avviso AA26-281A sugli attori legati a Integrity Tech, il 28 ottobre 2026 Black Lotus Labs, la divisione di ricerca di Lumen Technologies, ha pubblicato un rapporto su un altro gruppo legato allo Stato cinese, Volt Typhoon, e sulla rete che usa per nascondere le operazioni più delicate: Silent Train.

Non è una botnet stabile ma una serie di catene di dispositivi compromessi, montate su richiesta, usate contro pochi bersagli, ripulite a fine sessione e rinnovate di continuo. Black Lotus Labs la segue da tre anni, ha inviato centinaia di notifiche alle vittime e ha osservato lo sfruttamento di quattro zero-day confermati e uno probabile in piattaforme di gestione centralizzata.

Come è fatta una catena

Secondo il rapporto, ripreso da più testate, ogni sessione parte da un server privato virtuale fuori dagli Stati Uniti, passa per un altro server e per router SOHO, dispositivi domestici e IoT compromessi in altri paesi, ed esce infine da un dispositivo negli Stati Uniti, vicino al bersaglio. Così il traffico sembra locale e supera i blocchi geografici e i filtri sulla reputazione degli indirizzi IP. In media le catene attraversano circa quattro dispositivi prima di un indirizzo statunitense, fino a un massimo di sei.

I dettagli tecnici principali:

• Oltre 27 classi di dispositivi: all’inizio soprattutto SOHO e IoT (TP-Link, Netgear, Intelbras, Zyxel, Ruckus, Cambium), compromessi tramite interfacce web esposte; da inizio 2025 anche piattaforme aziendali come Fortinet, Cisco, PRTG, Mirth Connect e CyberPanel come ultimo salto prima della vittima, mantenute da uno a tre mesi.
• Strumenti minimi: servizi SSH temporanei, chiavi, file di configurazione e utilità già presenti nel sistema (living off the land), tutti rimossi a fine sessione. In seguito sono comparsi anche tunnel inversi con i proxy open source Chisel e FRP, in parallelo al concatenamento SSH.
• Ruoli fissi: i modem Intelbras compaiono solo come relay all’estero, i Netgear Orbi solo come salti statunitensi a contatto con le vittime; anche i fornitori dei VPS sono separati per livello.
• Velocità: una nuova catena si costruisce in meno di due minuti, segno di un processo almeno in parte automatizzato. Le sessioni durano in media circa quattro ore secondo CyberScoop e Security Affairs; BleepingComputer scrive «di solito meno di otto ore».
• Alcuni dispositivi usati come relay non hanno vulnerabilità note: per i ricercatori il gruppo potrebbe aver usato exploit mai divulgati anche solo per creare un anello della catena.

Silent Train serve solo alle fasi chiave: sfruttamento, furto di credenziali, esfiltrazione e accesso continuativo; la ricognizione passa da altra infrastruttura. Ogni sessione riguarda da una a cinque vittime, spesso una sola. Secondo Security Affairs gli operatori lavorano a mano, dal lunedì al venerdì tra le 9 e le 22 ora cinese.

La rete è comparsa alla fine del 2023, poco prima dello smantellamento della KV-botnet da parte dell’FBI, e il suo uso è cresciuto dopo (dicembre 2023 per Help Net Security, inizio 2024 per CyberScoop).

Gli zero-day e le piattaforme colpite

Il bersaglio sono le piattaforme del piano di controllo: gestione degli endpoint e della rete, orchestratori SD-WAN. Da lì gli attaccanti raggiungono centinaia o migliaia di dispositivi e i clienti a valle senza movimento laterale, quindi con meno tracce.

• Versa Director, CVE-2024-39717 (2024): webshell JAR in memoria per limitare le prove forensi e raggiungere i clienti a valle.
• N-able N-central, CVE-2025-8875 e CVE-2025-8876.
• Cisco Catalyst SD-WAN, CVE-2026-20127, CVSS 10.0: secondo Security Affairs lo sfruttamento è proseguito anche dopo la pubblicazione di Cisco, a febbraio 2026.
• VeloCloud Orchestrator, CVE-2026-16812.
• Quest KACE, zero-day probabile (valutazione con confidenza moderata): oltre 30 vittime, campagna in calo dopo gli aggiornamenti di Quest di ottobre 2025; l’attore è rimasto sul server KACE e ne ha usato le funzioni di amministrazione per raccogliere credenziali.

Dopo gli incidenti i partner hanno trovato webshell in memoria, raccolta di credenziali, abuso di funzioni native (controllo degli endpoint, trasferimento remoto di file) e log cancellati o alterati. Il gruppo ha preso di mira anche tecnologie di Fortinet, Cisco, ManageEngine, Ivanti, F5, Check Point, Palo Alto Networks, ServiceNow e ArcGIS, senza che fosse sempre possibile stabilire se con vulnerabilità note o sconosciute.

Help Net Security riporta inoltre un’analisi di Cisco Talos pubblicata lo stesso giorno: il gruppo UAT-11473, la cui infrastruttura si sovrappone in gran parte a Silent Train, ha sfruttato la CVE-2026-20127 sui controller Cisco Catalyst SD-WAN per installare KeyDrift, framework che mantiene l’accesso ed esfiltra i metadati delle sessioni di controllo e il materiale crittografico del piano dati.

Impatto per le aziende europee e italiane

Le vittime citate sono negli Stati Uniti (Hawaii, California e Texas in testa): telecomunicazioni, enti governativi, difesa, comunicazioni satellitari e di emergenza, università, MSP e aziende IT, acqua, energia, trasporti, aviazione. Per i ricercatori il quadro è coerente con un pre-posizionamento in vista di una crisi nell’Indo-Pacifico. Le fonti non citano vittime in Europa, ma i dispositivi usati come relay sono comuni ovunque: un router o un firewall italiano può diventare un anello della catena contro terzi. Per i soggetti NIS2, e per gli MSP, la compromissione di una console che raggiunge clienti e partner va valutata anche ai fini della notifica.

Cosa fare subito

1. Togli da Internet console di gestione, orchestratori SD-WAN e portali di amministrazione: dietro VPN, jump host o rete di gestione dedicata.
2. Aggiorna per prime le piattaforme del piano di controllo, a partire dalle CVE elencate.
3. Centralizza i log su un sistema separato e conservali più a lungo: gli attaccanti cancellano quelli locali.
4. Cerca attività amministrative insolite sui server di gestione e su ciò che fanno agli endpoint, e rivedi le connessioni fidate verso clienti e partner.
5. Controlla il traffico in uscita dei tuoi dispositivi di bordo: SSH verso host sconosciuti, tunnel Chisel o FRP, porte alte insolite possono indicare che un tuo apparato fa da relay.
6. Non contare sulle liste di IP: gli indirizzi della catena scadono in poche ore. Segui le indicazioni di CISA e NCSC su Volt Typhoon.

Come aiuta ARXDOME

ARX Expose e ARX Scout mostrano i servizi e i pannelli di amministrazione esposti su Internet, con le vulnerabilità note. ARX Sentry raccoglie i log di firewall e dispositivi di rete e raggruppa esecuzioni sospette, persistenza e modifiche agli account; ARX Retain ne conserva una copia nell’archivio a lungo termine, che non si può modificare né cancellare. ARX Shield isola dalla rete una macchina sospetta.

Ultimo aggiornamento: 30 ottobre 2026