Lumen의 보안 연구 부서인 Black Lotus Labs의 최근 연구에 따르면, 중국의 해킹 그룹 Volt Typhoon이 Silent Train이라는 고도의 기술 프레임워크를 사용하는 것으로 나타났습니다. 이 프레임워크는 관리 및 네트워크 인프라의 제로데이(Zero-day) 취약점 악용을 포함하여, 고가치 시스템을 겨냥한 사이버 공격의 출원지를 은폐하는 것을 목표로 합니다.
Silent Train의 작동 메커니즘
Silent Train 프레임워크는 지속적으로 순환되는 해킹된 연결 기기로 구성된 릴레이 네트워크(Relay Network)에 의존합니다. 공격자들은 미국 외 지역의 가상 프라이빗 서버(VPS)를 통해 활동을 라우팅한 후, 최종 공격을 감행하기 전에 라우터와 같은 중계 기기를 거치도록 합니다. 특히 공격자들은 일반적으로 8시간 미만이 소요되는 각 작전 직후에 도구, 액세스 키, 설정 파일을 정리하여 추적을 극도로 어렵게 만듭니다.
이 뉴스가 중요한 이유
이번 발전은 미 연방수사국(FBI)이 이전의 봇넷 네트워크(KV-Botnet)를 무력화한 이후 Volt Typhoon의 전술 변화를 나타냅니다. 공격자들은 이제 민감한 관리 플랫폼의 취약점을 악용하는 데 집중하고 있으며, 이를 통해 네트워크 내에서 탐지를 유발할 수 있는 요란한 측면 이동(Lateral movement) 없이 광범위한 관리 제어 권한을 확보합니다. 목표에는 통신, 에너지, 교통, 정부 기관과 같은 주요 부문이 포함되며, 인도-태평양 지역의 지역 문제와 관련된 미국의 지역에 대한 뚜렷한 지리적 집중도를 보입니다.
표적이 된 취약점
연구진은 다음과 같은 여러 기술 제품에서 제로데이 취약점 악용을 탐지했습니다.
- VeloCloud Orchestrator (CVE-2026-16812)
- Cisco Catalyst SD-WAN (CVE-2026-20127)
- N-able N-central (CVE-2025-8875 및 CVE-2025-8876)
- Versa Director (CVE-2024-39717)
보안 권장 사항
전문가들은 중앙 집중식 관리 시스템의 보안을 강화하고, 관리 인터페이스에 대한 인터넷 접속을 제한하며, 보안 취약점에 대한 신속한 패치를 적용할 것을 권장합니다. 또한 로그를 중앙화하여 더 오랜 기간 보관하고, 비정상적인 관리 활동을 모니터링하며, 파트너나 고객의 네트워크를 위험에 빠뜨릴 수 있는 신뢰할 수 있는 통신을 검토해야 한다고 강조합니다.