Анатомия сети Silent Train
Исследователи из Lumen Technologies (Black Lotus Labs) зафиксировали активность сети Silent Train в ноябре 2023 года. В отличие от классических ботнетов, эта инфраструктура была «живой»: злоумышленники собирали временные маршруты из домашних роутеров, IoT-устройств и корпоративного оборудования. После выполнения задачи промежуточные узлы полностью очищались от следов.
Схема атаки строилась на маскировке. Маршрут начинался с арендованных серверов за пределами США, проходил через несколько зараженных узлов в других странах и завершался на устройстве внутри американской сети. Это позволяло атакам выглядеть как легитимный внутренний трафик, обходя географические блокировки и системы фильтрации IP-адресов.
Технические детали и метрики
Операторы использовали сложные методы обхода, включая временные SSH-службы, обратные туннели через Chisel и FRP. Среднее время сеанса составляло около четырех часов, а развертывание маршрута занимало менее двух минут. К началу 2025 года тактика эволюционировала: вместо одноразовых роутеров стали использоваться взломанные корпоративные системы, способные работать от одного до трех месяцев. Активность концентрировалась в будни с 9 до 22 часов по китайскому времени, что указывает на ручное управление.
Цели и уязвимости нулевого дня
Главной целью Volt Typhoon стали централизованные системы управления сетью. Через них атакующие получали доступ к множеству подключенных устройств и клиентских сетей, минуя традиционное продвижение по инфраструктуре. Расследование подтвердило четыре кампании с использованием уязвимостей нулевого дня (zero-day):
| Платформа | Уязвимость (CVE) | Тип эксплуатации |
|---|---|---|
| Versa Director | CVE-2024-39717 | Zero-day |
| N-able N-central | CVE-2025-8875, CVE-2025-8876 | Zero-day |
| Cisco Catalyst SD-WAN | CVE-2026-20127 | Zero-day |
| VeloCloud Orchestrator | CVE-2026-16812 | Zero-day |
Последствия и рекомендации
Под ударом оказались операторы связи, государственные структуры, оборонные подрядчики, а также предприятия энергетики, транспорта и водоснабжения. Наибольшее внимание уделялось Калифорнии, Техасу и Гавайям. Black Lotus Labs направила сотни предупреждений пострадавшим организациям.
Специалисты рекомендуют критически важные меры защиты:
- Полностью ограничить доступ из интернета к административным интерфейсам управляющих платформ.
- Обеспечить быстрое обновление ПО для устранения известных уязвимостей.
- Хранить журналы событий (logs) вне самих устройств, чтобы злоумышленники не могли их удалить после атаки.
- Мониторить необычные действия администраторов, передачу файлов и изменения настроек.
Источник: Securitylab ↗