De Chinese hackgroep Volt Typhoon gebruikt het Silent Train-framework om zero-day aanvallen te verbergen via een keten van gehackte apparaten.
De door de Chinese staat gesteunde hackgroep Volt Typhoon maakt gebruik van een geavanceerd framework genaamd Silent Train om zero-day aanvallen te verbergen. Dit framework bestaat uit een roterende keten van verbonden apparaten die op afroep worden gecompromitteerd, waardoor aanvallen op waardevolle systemen moeilijk te traceren zijn. Onderzoekers van Black Lotus Labs, de dreigingsonderzoekstak van communicatiebedrijf Lumen, volgen Silent Train al drie jaar en bevestigen dat Volt Typhoon minstens vier zero-day kwetsbaarheden heeft uitgebuit bij aanvallen op rand- en beheerinfrastructuur.
De doelwitten van deze aanvallen zijn onder meer telecombedrijven, overheidsinstanties, defensiecontractanten, onderwijsinstellingen, nutsbedrijven, satellietdiensten, IT-bedrijven, MSP's, transport, luchtvaart en hulpdiensten. De meeste aanvallen richten zich op regio's in Californië, Texas en Hawaii, wat wijst op een focus op Indo-Pacifische belangen. Eerder richtte Volt Typhoon zich ook op kritieke infrastructuur in de Verenigde Staten, waaronder communicatie-, energie-, transport- en watersystemen. De Amerikaanse CISA waarschuwde dat de groep toegang probeert te verkrijgen om bij een toekomstige crisis of conflict verstoringen te kunnen veroorzaken.
Silent Train functioneert als een relay-netwerk van gecompromitteerde apparaten waarmee Volt Typhoon de herkomst van zijn aanvallen verbergt. De aanvallers leiden hun activiteiten via VPS-infrastructuur buiten de VS en vervolgens via gehackte apparaten zoals routers die als tussenstations fungeren. Zo werden Intelbras-modems ingezet als buitenlandse relays en Netgear Orbi-apparaten als tussenstations binnen de VS. Het gebruik van Silent Train omvat het exploiteren van kwetsbaarheden, stelen van credentials, exfiltratie van data en het behouden van persistente toegang tot systemen. Door het monitoren van Silent Train-activiteiten konden onderzoekers zero-day exploits waarnemen voor onder andere VeloCloud Orchestrator, Cisco Catalyst SD-WAN, N-able N-central en Versa Director, evenals vermoedelijk een zero-day in Quest KACE.
Het compromitteren van deze platforms geeft de aanvallers uitgebreide beheersrechten, waardoor ze credentials kunnen stelen, op afstand toegang krijgen en ook downstream klanten kunnen bereiken zonder opvallende laterale bewegingen die detectie zouden triggeren. De operators van Silent Train maken gebruik van tijdelijke SSH-diensten, sleutels en configuratiebestanden, die na een sessie van meestal minder dan acht uur weer worden verwijderd. Vanaf begin 2025 werd het framework hybride, waarbij naast wegwerp-relays ook gecompromitteerde enterprise-systemen werden gebruikt die één tot drie maanden in gebruik bleven. Silent Train wordt vermoedelijk ingezet voor hoogwaardiger doelwitten en operaties die plaatsvinden volgens de Chinese standaardtijd (CST). Het gebruik van zero-days onderstreept dit beeld.
