Недавние исследования, опубликованные Black Lotus Labs, исследовательским подразделением компании Lumen по вопросам безопасности, раскрыли использование китайской хакерской группировкой, известной как Volt Typhoon, сложного технического фреймворка под названием Silent Train. Этот фреймворк направлен на сокрытие происхождения кибератак, нацеленных на ценные системы, включая эксплуатацию уязвимостей нулевого дня в инфраструктуре администрирования и сетей.
Принцип работы Silent Train
Фреймворк Silent Train опирается на ретрансляционную сеть (Relay Network), состоящую из постоянно меняющихся подключенных скомпрометированных устройств. Злоумышленники направляют свою активность через виртуальные частные серверы (VPS) за пределами США, а затем перенаправляют ее через промежуточные устройства, такие как маршрутизаторы (Routers), перед проведением финальной атаки. Примечательно, что злоумышленники очищают свои инструменты, ключи доступа и файлы конфигурации после каждой операции, которая обычно занимает менее 8 часов, что делает их отслеживание крайне сложным.
Почему эта новость важна?
Это развитие событий представляет собой сдвиг в тактике Volt Typhoon после того, как Федеральное бюро расследований (ФБР) нейтрализовало их предыдущий ботнет (KV-Botnet). Теперь злоумышленники сосредоточены на эксплуатации уязвимостей в чувствительных платформах администрирования, что дает им широкий административный контроль без необходимости совершать шумные перемещения внутри сети, которые могут привести к их обнаружению. Цели включают такие критически важные секторы, как телекоммуникации, энергетика, транспорт и правительственные учреждения, с заметным географическим акцентом на те районы США, которые связаны с региональными делами в Индо-Тихоокеанском регионе.
Целевые уязвимости
Исследователям удалось зафиксировать эксплуатацию уязвимостей нулевого дня в нескольких технологических продуктах, в том числе:
- VeloCloud Orchestrator (CVE-2026-16812)
- Cisco Catalyst SD-WAN (CVE-2026-20127)
- N-able N-central (CVE-2025-8875 и CVE-2025-8876)
- Versa Director (CVE-2024-39717)
Рекомендации по безопасности
Эксперты рекомендуют укреплять безопасность систем централизованного администрирования, ограничивать доступ из интернета к интерфейсам управления, а также оперативно устранять уязвимости. Также подчеркивается необходимость централизации журналов (Logs) с их хранением в течение более длительных периодов времени, мониторинга любой необычной административной активности и проверки доверенных соединений, которые могут подвергать риску сети партнеров или клиентов.