Volt Typhoon 透過 Silent Train 進行四起零日攻擊

被歸因於一個已被中斷的隱蔽存取網路，稱為 Silent Train，其被用於零日利用與戰略存取的中國關聯網路間諜組織 Volt Typhoon。

"首次於 2023 年底被識別，Silent Train 使用已被攻陷的 SOHO、IoT 與企業基礎設施的輪換鏈條，" Lumen Technologies Black Lotus Labs 表示，該報告已與 The Hacker News 分享。"它採用反取證技術、分段作業與作業後清理，以最小化偵測與歸因。"

其主要目的是促進關鍵攻擊階段，例如漏洞利用、憑證存取、資料外流，以及維持對受害環境的持續存取。該活動因兩個主要原因而突出 -

它針對能為下游客戶、敏感網路或戰略計畫提供可擴充套件存取的實體。
它針對端點管理平臺、網路管理系統、SD‑WAN 編排器以及在企業環境中扮演關鍵角色的控制平面技術。

已在電信供應商、政府、國防承包商、衛星及關鍵任務通訊服務、學術機構、IT 企業，以及水利、能源、交通、海運、鐵路、航空與緊急服務等關鍵基礎設施中確認數百名受害者。

Volt Typhoon（又稱 Bronze Silhouette、Insidious Taurus、UNC3236、Vanguard Panda 及 Voltzite）是被指定為一個中國關聯的國家後援組織的代號，該組織以針對關鍵基礎設施網路（尤其是通訊、能源、交通以及水與汙水系統）而聞名。

已知自 2021 年起至少活躍，該威脅行為者曾被觀測到利用 Versa Director 的檔案上傳漏洞作為零日（CVE-2024-39717），以傳遞名為 VersaMem 的定製 Web Shell，該 Shell 用於蒐集憑證並啟用對下游客戶的存取。

Black Lotus Labs 的最新發現顯示，該安全漏洞是威脅行為者透過 Silent Train 執行的四項確認零日攻擊之一。其餘三項漏洞如下列所示 -

CVE-2025-8875 與 CVE-2025-8876 - N-able N-central 中一組不安全的反序列化與命令注入漏洞。
CVE-2026-20127 - Cisco Catalyst SD‑WAN Controller 中的身份驗證繞過漏洞
CVE-2026-16812 - Arista VeloCloud Orchestrator 中的作業系統命令注入漏洞

另外，Volt Typhoon 也被懷疑利用了 Quest KACE 可能的零日漏洞，直到它在 2025 年 10 月被修補。該攻擊活動估計已影響超過 30 名受害者。

"Silent Train 以快速輪換的已被攻陷 SOHO、IoT 與企業裝置鏈條為核心，這些裝置按需被利用、針對精心挑選的目標使用、每次操作後清理，並持續重新整理，" Black Lotus Labs 表示。

"這種模式使 Volt Typhoon 能以卓越的作業安全執行漏洞利用與利用後作業，同時最小化偵測、歸因與幹擾的機會。"

這些攻擊的一個定義性特徵是重複針對能夠開啟廣泛可見性、控制權與存取權的大型企業環境系統，這些環境對美國具有戰略價值。

有趣的是，隱蔽存取能力大約在2023年11月左右開始成形，僅幾週前就針對KV-botnet進行第一次破壞，KV-botnet是一個與多個中國聯結的國家贊助威脅行為者相關的物聯網殭屍網路，包括Volt Typhoon。

據說Silent Train的作業活動在2024年1月底該殭屍網路的第二次破壞之後激增，同時轉向一個短暫的基礎設施，包含多種型別的裝置並跨越多個地理位置。

“與其繼續使用持久化基礎設施，Volt Typhoon改為使用一次性使用的被攻陷裝置鏈，並可按需重建，”Black Lotus Labs表示。"Volt Typhoon迅速組建並拆解短暫基礎設施，建立一個有彈性、安全且隔離的框架，保護寶貴的存取權。

被描述為「分層、多跳框架」的Silent Train旨在讓Volt Typhoon的操作者在惡意流量到達目標前，透過多臺裝置轉發，以掩蓋其來源，對受害者與防禦者都不易辨識。鏈中的每個節點都有特定功能 -

虛擬私人伺服器 (VPS) 充當臨時中轉區，讓威脅行為者能在每個會話後配置並丟棄它們。這些會話始於位於美國境外的VPS基礎設施。
被攻陷的非美國 SOHO 與 IoT 裝置分佈於不同國家、供應商及硬體，隱藏攻擊起點。
美國本土被攻陷裝置在抵達國內受害者前作為出口節點，協助躲避地理封鎖與 IP 名譽封鎖列表。

至少有 27 個裝置類別，涵蓋 SOHO 與 IoT 裝置（如 TP-Link、Intelbras、Ruckus Wireless、SATO、NETGEAR、Zyxel 與 Cambium）以及企業平臺（如 Fortinet、Cisco、PRTG、Mirth Connect 與 CyberPanel），已被利用並加入暗網。

\"Silent Train 以其運營紀律脫穎而出，專注於短暫、自治的會話，而非持續的中繼或 C2 基礎設施，\" Black Lotus Labs 表示。\"為構建這些會話，其操作人員利用 SOHO、IoT 及其他中繼裝置的公開網頁介面，隨後僅部署必要工具以啟用經被攻陷節點連結的 SSH 存取。\"

\"這包括臨時 SSH 服務、金鑰、設定檔以及『live off the land』工具。在運營會話結束時，他們會移除所有痕跡並拆除運營鏈。Silent Train 會話平均持續約四小時，亦有僅數分鐘的情況。\"

另一顯著之處是將特定裝置型別指派至 Silent Train 的特定角色。例如，Intelbras 路由器僅作為中繼節點，而 Netgear Orbi 與 Fortinet FortiGate 機器則擔任美國本土的中介與出口節點，負責與受害者互動。

換句話說，基礎設施顯示出跨層級的有意隔離，將某些裝置型別限定於特定角色，這些角色保持不變，而基礎設施本身隨時間變化，以增加歸因難度。

然而，至 2025 年初，Silent Train 被認為已從完全短暫的中繼網路演變為混合架構，平均保留企業級裝置一到三個月，而非在每次互動後更換。

平臺進一步成熟後，加入了使用開源代理（如 Chisel 和 FRP）的反向隧道變體，將流量從受感染裝置傳送至上游基礎設施。

在美國境內，夏威夷、加州和德州已成為 Silent Train 作業的重點區域，這主要是因為這些州擁有重要的軍事設施、電信基礎設施、防務承包商、衛星通訊供應商以及關鍵物流網路。

「受害者學顯示，該組織有意維持對支援防務、物流、通訊、軍事及民用作業的關鍵生態系統的存取，尤其在印太地區緊張局勢或危機期間，」Black Lotus Labs 表示。

「最終呈現的是一個高度結構化的框架，旨在大規模取得、保護並維持戰略存取。透過重複針對集中式管理平臺與控制平面技術，Silent Train 展示了 Volt Typhoon 如何系統化追求並保護美國最具影響力的網路存取。」，

覺得這篇文章有趣嗎? 在 Google News, Twitter 與 LinkedIn 上關注我們，以閱讀我們發布的更多獨家內容。