Black Lotus Labs araştırmacılarına göre, Çin devlet destekli bilgisayar korsanlığı grubu Volt Typhoon, en az dört sıfır gün güvenlik açığından yararlanan saldırılar dâhil, saldırılarını gizlemek için Silent Train adlı bir çerçeve kullandı.
İletişim şirketi Lumen’in tehdit araştırma birimi Black Lotus Labs, çerçeveyi üç yıl boyunca izlediğini söylüyor. Silent Train, etkinliği aracı olarak kullanılan ele geçirilmiş cihaz zincirlerinden geçiriyor. Operatörler trafiği önce Amerika Birleşik Devletleri dışındaki sanal özel sunuculara, ardından saldırıları başlatmadan önce ele geçirilmiş cihazlara yönlendiriyor.
Araştırmacılar, Intelbras modemlerin yurt dışında, Netgear Orbi cihazlarının ise Amerika Birleşik Devletleri’nde ara geçiş noktaları olarak kullanıldığını söylüyor. Saldırılar; telekomünikasyon, devlet kurumları, savunma, kamu hizmetleri, ulaşım ve acil servisler gibi sektörlerdeki uç ve yönetim altyapısını hedef aldı. Black Lotus Labs’ın gözlemlerinde en çok hedef alınan bölgeler California, Texas ve Hawaii oldu.
Araştırmacılara göre operatörler, internete açık web arayüzlerindeki açıklardan yararlanıyor ve zincirleme SSH erişimi oluşturmak için yalnızca gerekli araçları yüklüyor. Oturumlar genellikle 8 saatten kısa sürdü; ardından operatörler araçlarını, anahtarlarını ve yapılandırma dosyalarını kaldırdı. 2025’in başlarında çerçeve, ele geçirilmiş kurumsal sistemleri de bir ila üç ay boyunca elde tutan karma bir yaklaşıma geçti.
Black Lotus Labs, FBI’ın KV-Botnet’i devre dışı bırakmasının Silent Train’in kullanımını kısmen hızlandırdığını söylüyor. Araştırmacılar, çerçevenin yüksek değerli hedeflere yönelik dikkatli ve doğrudan yürütülen operasyonlar için ayrıldığını belirtiyor. İnternetten yönetim arayüzlerine erişimi kısıtlamayı, güvenlik açıklarını hızla yamamayı ve olağan dışı yönetici etkinliklerini izlemeyi öneriyorlar.
Yorumlar
0Henüz yorum yok. İlk yorumu siz yazın.