Кибершпионская группа из Китая, известная как Volt Typhoon, была связана с ныне пресеченной сетью скрытого доступа под названием Silent Train, которая использовалась для эксплуатации уязвимостей нулевого дня и получения стратегического доступа. «Впервые обнаруженная в конце 2023 года, Silent Train использует вращающиеся цепочки скомпрометированной инфраструктуры SOHO, IoT и корпоративных сетей», — говорится в отчете Lumen Technologies Black Lotus Labs, опубликованном The Hacker News. «Она применяет методы противодействия криминалистике, изолированные операции и очистку после завершения работы, чтобы минимизировать обнаружение и атрибуцию». Ее основная цель — содействие критическим фазам атаки, таким как эксплуатация уязвимостей, получение учетных данных, эксфильтрация данных и поддержание постоянного доступа к средам жертв. Эта активность выделяется по двум основным причинам: были выявлены сотни жертв среди поставщиков телекоммуникационных услуг, государственных учреждений, оборонных подрядчиков, поставщиков спутниковой и критически важной связи, университетов, ИТ-компаний и объектов критической инфраструктуры, таких как водоснабжение, энергетика, транспорт, морские перевозки, железные дороги, авиация и службы экстренной помощи. Volt Typhoon (также известная как Bronze Silhouette, Insidious Taurus, UNC3236, Vanguard Panda и Voltzite) — это название, присвоенное спонсируемой государством группировке, связанной с Китаем, известной своими атаками на сети критической инфраструктуры, особенно в секторах связи, энергетики, транспорта, водоснабжения и водоотведения. Известно, что эта угроза активна как минимум с 2021 года, ранее ее замечали эксплуатирующей уязвимость загрузки файлов в Versa Director в качестве уязвимости нулевого дня (CVE-2024-39717) для доставки специализированной веб-оболочки VersaMem, предназначенной для сбора учетных данных и обеспечения доступа к нижестоящим клиентам. Последние данные Black Lotus Labs показывают, что уязвимость безопасности была одной из четырех подтвержденных кампаний с использованием уязвимостей нулевого дня, проведенных злоумышленником через Silent Train. Три оставшиеся уязвимости перечислены ниже. Отдельно предполагается, что Volt Typhoon также воспользовалась вероятной уязвимостью нулевого дня в Quest KACE до того, как она была исправлена в октябре 2025 года. По оценкам, кампания затронула более 30 жертв. «Silent Train построена на основе быстро вращающихся цепочек скомпрометированных устройств SOHO, IoT и корпоративных сетей, которые эксплуатируются по требованию, используются против тщательно отобранных целей, очищаются после каждой операции и постоянно обновляются», — заявили в Black Lotus Labs. «Эта модель позволила Volt Typhoon проводить операции по эксплуатации и постэксплуатации с исключительной операционной безопасностью, минимизируя возможности для обнаружения, атрибуции и срыва». Определяющей характеристикой этих атак является неоднократное нацеливание на системы, которые могут открыть двери для широкой видимости, контроля и доступа в крупные корпоративные среды, имеющие стратегическое значение для США. Интересно, что возможность скрытого доступа начала формироваться примерно в ноябре 2023 года, всего за несколько недель до первой волны срыва, нацеленной на KV-botnet, IoT-ботнет, связанный с несколькими связанными с Китаем спонсируемыми государством злоумышленниками, включая Volt Typhoon. Сообщается, что операционная активность Silent Train резко возросла после второго срыва ботнета в конце января 2024 года, одновременно переключившись на эфемерную инфраструктуру, включающую разнообразные типы устройств и географические регионы. «Вместо того чтобы продолжать использовать постоянную инфраструктуру, Volt Typhoon перешла на модель использования одноразовых цепочек скомпрометированных устройств, которые она могла восстанавливать по мере необходимости», — заявили в Black Lotus Labs. «Volt Typhoon быстро собирала и разбирала временную инфраструктуру, создавая устойчивую, безопасную и изолированную структуру, которая защищала ценный доступ». Silent Train, описанная как «многоуровневая, многоступенчатая структура», предназначена для того, чтобы операторы Volt Typhoon могли перенаправлять вредоносный трафик через несколько устройств, прежде чем он достигнет целей, чтобы скрыть его происхождение как от жертв, так и от защитников. Каждое звено в цепочке выполняет определенную функцию: было скомпрометировано и включено в скрытую сеть не менее 27 классов устройств, от SOHO и IoT-устройств (например, TP-Link, Intelbras, Ruckus Wireless, SATO, NETGEAR, Zyxel и Cambium) до корпоративных платформ (например, Fortinet, Cisco, PRTG, Mirth Connect и CyberPanel). «Silent Train выделяется своей операционной дисциплиной, фокусируясь на краткосрочных, самоуправляемых сессиях, а не на постоянных ретрансляторах или инфраструктуре C2», — заявили в Black Lotus Labs. «Для построения этих сессий ее операторы используют открытые веб-интерфейсы на устройствах SOHO, IoT и других ретрансляторах, а затем развертывают только необходимые инструменты для обеспечения последовательного доступа по SSH через скомпрометированный узел». «Это включало временные службы SSH, ключи, файлы конфигурации и утилиты ‘live off the land’. В конце операционных сессий они удаляли все артефакты и разбирали операционную цепочку». Сессии Silent Train длились в среднем около четырех часов, некоторые — всего несколько минут. Еще одним примечательным аспектом является назначение определенных типов устройств на конкретные позиции в Silent Train. Например, модемы Intelbras использовались только в качестве ретрансляционных узлов, в то время как устройства Netgear Orbi и Fortinet FortiGate служили американскими промежуточными и выходными точками, ответственными за взаимодействие с жертвой. Другими словами, инфраструктура указывает на преднамеренную изоляцию по уровням, ограничивая определенные типы устройств определенными ролями, которые остаются постоянными, в то время как сама базовая инфраструктура меняется со временем, чтобы усложнить усилия по атрибуции. Однако к началу 2025 года Silent Train, как полагают, эволюционировала от полностью эфемерной сети ретрансляции к гибридной архитектуре, которая сохраняла корпоративные устройства в среднем от одного до трех месяцев вместо их смены после каждого взаимодействия. Последующее развитие платформы включало варианты обратного туннелирования, которые использовали открытые прокси-серверы, такие как Chisel и FRP, для отправки трафика с зараженных устройств на вышестоящую инфраструктуру. В США Гавайи, Калифорния и Техас стали основными направлениями операций Silent Train, что сводится к тому, что в этих штатах расположены крупные военные объекты, телекоммуникационная инфраструктура, оборонные подрядчики, поставщики спутниковой связи и критически важные логистические сети. «Виктимология указывает на преднамеренные усилия по поддержанию доступа к критически важным экосистемам, которые поддерживают оборону, логистику, связь, военные и гражданские операции, особенно во время повышенной напряженности или кризисов в Индо-Тихоокеанском регионе», — заявили в Black Lotus Labs. «Полученная картина представляет собой высокоструктурированную основу, созданную для приобретения, защиты и поддержания стратегического доступа в масштабе. Благодаря неоднократным атакам на централизованные платформы управления и технологии управляющих плоскостей, Silent Train демонстрирует, как Volt Typhoon систематически преследует и сохраняет доступ к некоторым из наиболее значимых сетей в Соединенных Штатах».
Всегда имейте в виду, что редакции могут придерживаться предвзятых взглядов в освещении новостей.
Автор – Ravie Lakshmanan
