Jüngste Untersuchungen von Black Lotus Labs, dem Sicherheitsforschungsarm von Lumen, haben die Nutzung eines hochentwickelten technischen Frameworks namens Silent Train durch die als Volt Typhoon bekannte chinesische Hackergruppe aufgedeckt. Dieses Framework zielt darauf ab, die Ursprünge von Cyberangriffen auf hochkarätige Systeme zu verschleiern, einschließlich der Ausnutzung von Zero-Day-Schwachstellen in Management- und Netzwerk-Infrastrukturen.
Funktionsweise von Silent Train
Das Silent Train Framework basiert auf einem Relay-Netzwerk, das aus ständig rotierenden, kompromittierten verbundenen Geräten besteht. Die Angreifer leiten ihre Aktivitäten über virtuelle Server (VPS) außerhalb der Vereinigten Staaten und leiten sie dann über Zwischengeräte wie Router weiter, bevor sie den endgültigen Angriff ausführen. Es ist bemerkenswert, dass die Angreifer ihre Tools, Zugriffsschlüssel und Konfigurationsdateien nach jedem Einsatz bereinigen, der in der Regel weniger als 8 Stunden dauert, was ihre Rückverfolgung extrem schwierig macht.
Warum sind diese Nachrichten wichtig?
Diese Entwicklung stellt eine Verschiebung in der Taktik von Volt Typhoon dar, nachdem das vorherige Botnetz (KV-Botnet) durch das Federal Bureau of Investigation (FBI) deaktiviert wurde. Die Angreifer konzentrieren sich nun auf die Ausnutzung von Schwachstellen in sensiblen Management-Plattformen, was ihnen eine weitreichende administrative Kontrolle ermöglicht, ohne dass laute Seitwärtsbewegungen innerhalb des Netzwerks erforderlich sind, die sie entlarven könnten. Die Ziele umfassen kritische Sektoren wie Telekommunikation, Energie, Transport und Regierungsorganisationen, mit einem deutlichen geografischen Fokus auf Regionen in den Vereinigten Staaten, die mit den regionalen Angelegenheiten im Indischen und Pazifischen Ozean in Verbindung stehen.
Angesprochene Schwachstellen
Forscher konnten die Ausnutzung von Zero-Day-Schwachstellen in mehreren Technologieprodukten beobachten, darunter:
- VeloCloud Orchestrator (CVE-2026-16812)
- Cisco Catalyst SD-WAN (CVE-2026-20127)
- N-able N-central (CVE-2025-8875 und CVE-2025-8876)
- Versa Director (CVE-2024-39717)
Sicherheitsempfehlungen
Experten raten dazu, die Sicherheit zentraler Managementsysteme zu verstärken, den Internetzugriff auf Management-Schnittstellen einzuschränken und die schnelle Behebung von Sicherheitslücken zu priorisieren. Zudem wird die Notwendigkeit betont, Protokolle (Logs) zu zentralisieren und über längere Zeiträume aufzubewahren, ungewöhnliche administrative Aktivitäten zu überwachen und vertrauenswürdige Verbindungen zu überprüfen, die die Netzwerke von Partnern oder Kunden gefährden könnten.