Три года исследователи следили за сетью Silent Train, через которую группировка Volt Typhoon скрывала атаки на критическую инфраструктуру США. Расследование раскрыло цепочки взломанных роутеров и серверов, а также четыре подтверждённые кампании с уязвимостями нулевого дня.
Исследователи Black Lotus Labs из Lumen Technologies заметили устойчивую активность Silent Train в ноябре 2023 года, незадолго до разгрома ботнета KV. Вместо постоянной сети злоумышленники собирали временные маршруты из домашних роутеров, устройств интернета вещей и корпоративного оборудования. После атаки промежуточные узлы очищали от следов работы.
Маршрут начинался с арендованных серверов за пределами США и проходил через несколько заражённых устройств в других странах. Последний узел обычно находился уже в американской сети, поэтому обращение к жертве выглядело как внутренний для страны трафик. Такой подход помогал обходить географические блокировки и фильтры подозрительных IP-адресов.
В одной цепочке насчитывалось до шести переходов. Операторы использовали временные SSH-службы, ключи и конфигурационные файлы, иногда подключали обратные туннели через Chisel и FRP. В среднем сеанс длился около четырёх часов, а отдельные маршруты разворачивались менее чем за две минуты. По завершении работы инструменты удаляли.
К началу 2025 года появились более устойчивые узлы на базе корпоративных систем. В отличие от домашних роутеров, служивших одну операцию, взломанные платформы могли работать от одного до трёх месяцев. Активность концентрировалась по будням с 9 до 22 часов по китайскому времени, что, по мнению исследователей, указывает на ручное управление атаками.
Через Silent Train Volt Typhoon атаковали прежде всего централизованные системы управления. В их числе Versa Director, N-able N-central, Cisco Catalyst SD-WAN и VeloCloud Orchestrator. Исследователи подтвердили четыре кампании с эксплуатацией zero-day и предполагают пятую, связанную с Quest KACE. Для последнего случая доказательства остаются ограниченными.
В расследовании названы CVE-2024-39717 в Versa Director, CVE-2025-8875 и CVE-2025-8876 в N-central, CVE-2026-20127 в Cisco Catalyst SD-WAN и CVE-2026-16812 в VeloCloud. Через системы управления атакующие могли получать доступ к множеству подключённых устройств и клиентских сетей, не продвигаясь по инфраструктуре обычным способом.
Согласно исследованию Black Lotus Labs, среди целей были операторы связи, госструктуры, оборонные подрядчики, поставщики спутниковой связи и предприятия энергетики, транспорта и водоснабжения. Наибольшее внимание уделяли Калифорнии, Техасу и Гавайям. Команда направила сотни предупреждений жертвам.
Специалисты советуют ограничить доступ из интернета к административным интерфейсам, быстро обновлять управляющие платформы и хранить журналы событий вне самих устройств. Особое внимание предлагают уделять необычным действиям администраторов, передаче файлов и изменениям настроек: после очистки временных узлов расследовать атаку намного сложнее.