Volt Typhoon: rețeaua Silent Train și zero-day-urile pe console

După avizul AA26-281A despre actorii legați de Integrity Tech, pe 28 octombrie 2026 Black Lotus Labs, divizia de cercetare a Lumen Technologies, a publicat un raport despre un alt grup legat de statul chinez, Volt Typhoon, și despre rețeaua pe care o folosește pentru a-și ascunde cele mai delicate operațiuni: Silent Train.

Nu este un botnet stabil, ci o serie de lanțuri de dispozitive compromise, construite la cerere, folosite împotriva câtorva ținte, curățate la sfârșitul fiecărei sesiuni și reînnoite continuu. Black Lotus Labs o urmărește de trei ani, a trimis sute de notificări victimelor și a observat exploatarea a patru zero-day-uri confirmate și unul probabil în platforme de management centralizat.

Cum arată un lanț

Potrivit raportului, preluat de mai multe publicații, fiecare sesiune pornește de pe un server privat virtual din afara Statelor Unite, trece printr-un alt server și prin routere SOHO, dispozitive casnice și IoT compromise din alte țări și iese, în final, printr-un dispozitiv din Statele Unite, aproape de țintă. Astfel traficul pare local și trece de blocările geografice și de filtrele de reputație a adreselor IP. În medie, lanțurile traversează circa patru dispozitive înainte de o adresă americană, maximum șase.

Principalele detalii tehnice:

• Peste 27 de clase de dispozitive: la început mai ales SOHO și IoT (TP-Link, Netgear, Intelbras, Zyxel, Ruckus, Cambium), compromise prin interfețe web expuse; de la începutul lui 2025 și platforme enterprise precum Fortinet, Cisco, PRTG, Mirth Connect și CyberPanel ca ultim salt înaintea victimei, păstrate între una și trei luni.
• Unelte minime: servicii SSH temporare, chei, fișiere de configurare și utilitare deja prezente în sistem (living off the land), toate eliminate la finalul sesiunii. Ulterior au apărut și tuneluri inverse cu proxy-urile open source Chisel și FRP, în paralel cu înlănțuirea SSH.
• Roluri fixe: modemurile Intelbras apar doar ca relee în străinătate, dispozitivele Netgear Orbi doar ca salturi americane în contact cu victimele; și furnizorii de VPS sunt separați pe niveluri.
• Viteză: un lanț nou se construiește în mai puțin de două minute, semn al unui proces cel puțin parțial automatizat. Sesiunile durează în medie circa patru ore, potrivit CyberScoop și Security Affairs; BleepingComputer scrie „de obicei sub opt ore”.
• Unele dispozitive folosite ca relee nu au vulnerabilități cunoscute: pentru cercetători, grupul ar fi putut folosi exploit-uri nedezvăluite doar pentru a crea o verigă a lanțului.

Silent Train servește doar fazelor-cheie: exploatare, furt de credențiale, exfiltrare și acces continuu; recunoașterea trece prin altă infrastructură. Fiecare sesiune vizează între una și cinci victime, adesea una singură. Potrivit Security Affairs, operatorii lucrează manual, de luni până vineri, între orele 9 și 22, ora Chinei.

Rețeaua a apărut la sfârșitul lui 2023, cu puțin înainte ca FBI să destructureze KV-botnet, iar utilizarea ei a crescut după aceea (decembrie 2023 potrivit Help Net Security, începutul lui 2024 potrivit CyberScoop).

Zero-day-urile și platformele vizate

Țintele sunt platformele planului de control: managementul endpoint-urilor și al rețelei, orchestratoarele SD-WAN. De acolo atacatorii ajung la sute sau mii de dispozitive și la clienții din aval fără mișcare laterală, deci cu mai puține urme.

• Versa Director, CVE-2024-39717 (2024): webshell JAR în memorie, pentru a limita dovezile criminalistice și a ajunge la clienții din aval.
• N-able N-central, CVE-2025-8875 și CVE-2025-8876.
• Cisco Catalyst SD-WAN, CVE-2026-20127, CVSS 10.0: potrivit Security Affairs, exploatarea a continuat și după publicarea de către Cisco, în februarie 2026.
• VeloCloud Orchestrator, CVE-2026-16812.
• Quest KACE, zero-day probabil (evaluare cu încredere moderată): peste 30 de victime, campanie în scădere după actualizările Quest din octombrie 2025; actorul a rămas pe serverul KACE și i-a folosit funcțiile de administrare pentru a colecta credențiale.

După incidente, partenerii au găsit webshell-uri în memorie, colectare de credențiale, abuz de funcții native (controlul endpoint-urilor, transfer de fișiere la distanță) și jurnale șterse sau modificate. Grupul a vizat și tehnologii Fortinet, Cisco, ManageEngine, Ivanti, F5, Check Point, Palo Alto Networks, ServiceNow și ArcGIS, fără să se poată stabili mereu dacă prin vulnerabilități cunoscute sau necunoscute.

Help Net Security relatează și o analiză Cisco Talos publicată în aceeași zi: grupul UAT-11473, a cărui infrastructură se suprapune în mare parte cu Silent Train, a exploatat CVE-2026-20127 pe controlerele Cisco Catalyst SD-WAN pentru a instala KeyDrift, un framework care menține accesul și exfiltrează metadatele sesiunilor de control și materialul criptografic al planului de date.

Impactul pentru companiile europene și italiene

Victimele menționate sunt în Statele Unite (Hawaii, California și Texas în frunte): telecomunicații, instituții guvernamentale, apărare, comunicații prin satelit și de urgență, universități, MSP și firme IT, apă, energie, transport, aviație. Pentru cercetători, tabloul este compatibil cu o prepoziționare în vederea unei crize în Indo-Pacific. Sursele nu menționează victime în Europa, dar dispozitivele folosite ca relee sunt răspândite peste tot: un router sau un firewall italian poate deveni o verigă a lanțului împotriva altora. Pentru entitățile NIS2, și pentru MSP-uri, compromiterea unei console care ajunge la clienți și parteneri trebuie evaluată și din perspectiva obligației de notificare.

Ce să faci acum

1. Scoate de pe Internet consolele de management, orchestratoarele SD-WAN și portalurile de administrare: pune-le în spatele unui VPN, al unui jump host sau al unei rețele de management dedicate.
2. Actualizează mai întâi platformele planului de control, începând cu CVE-urile enumerate.
3. Centralizează jurnalele pe un sistem separat și păstrează-le mai mult timp: atacatorii le șterg pe cele locale.
4. Caută activități administrative neobișnuite pe serverele de management și în ce fac acestea pe endpoint-uri și verifică conexiunile de încredere către clienți și parteneri.
5. Verifică traficul de ieșire al dispozitivelor tale de la margine: SSH către hosturi necunoscute, tuneluri Chisel sau FRP și porturi înalte neobișnuite pot arăta că un echipament de-al tău servește drept releu.
6. Nu te baza pe listele de IP-uri: adresele din lanț expiră în câteva ore. Urmează recomandările CISA și NCSC despre Volt Typhoon.

Cum ajută ARXDOME

ARX Expose și ARX Scout arată serviciile și panourile de administrare expuse pe Internet, cu vulnerabilitățile cunoscute. ARX Sentry colectează jurnalele firewall-urilor și ale dispozitivelor de rețea și grupează execuțiile suspecte, persistența și modificările conturilor; ARX Retain păstrează o copie în arhiva pe termen lung, unde nu poate fi modificată sau ștearsă. ARX Shield izolează de rețea o mașină suspectă.

Ultima actualizare: 30 octombrie 2026