Volt Typhoon använde Silent Train i minst fyra zero day-attacker

Den kinesiska statsunderstödda hackergruppen Volt Typhoon använde ett ramverk kallat Silent Train för att dölja attacker, däribland minst fyra som utnyttjade zero day-sårbarheter, enligt forskare vid Black Lotus Labs.

Black Lotus Labs, kommunikationsföretaget Lumens avdelning för hotforskning, uppger att de följde ramverket i tre år. Silent Train leder trafiken genom kedjor av komprometterade enheter som används som reläer. Operatörerna skickar trafiken via virtuella privata servrar utanför USA och vidare genom hackade enheter innan de inleder attacker.

Forskarna säger att Intelbras-modem fungerade som reläer utomlands, medan Netgear Orbi-enheter användes som mellanled i USA. Attackerna riktades mot edge- och hanteringsinfrastruktur inom bland annat telekommunikation, myndigheter, försvar, samhällsviktiga tjänster, transporter och räddningstjänst. I Black Lotus Labs observationer var California, Texas och Hawaii de mest utsatta regionerna.

Operatörerna utnyttjar exponerade webbgränssnitt och installerar bara de verktyg som behövs för att skapa kedjad SSH-åtkomst, uppger forskarna. Sessionerna varade vanligtvis under 8 timmar. Därefter tog operatörerna bort verktyg, nycklar och konfigurationsfiler. I början av 2025 hade ramverket fått en hybrid inriktning som också behöll komprometterade företagssystem i en till tre månader.

Black Lotus Labs säger att FBI:s nedstängning av KV-Botnet delvis drev på användningen av Silent Train. Forskarna beskriver ramverket som något som reserverats för värdefulla mål och noggrant genomförda, handstyrda operationer. De rekommenderar att begränsa internetåtkomst till administrativa gränssnitt, snabbt installera säkerhetsuppdateringar och övervaka ovanlig administratörsaktivitet.