Volt Typhoon حملات روز صفر را با استفاده از چارچوب 'Silent Train' پنهان می کند

گروه هکری تحت حمایت دولت چین، Volt Typhoon، از چارچوبی استفاده می‌کند که بر زنجیره‌های چرخشی دستگاه‌های متصل در معرض خطر استوار است، از جمله برای حملات روز صفر که سیستم‌های با ارزش بالا را هدف قرار می‌دهند.

این فریم ورک به دلیل اینکه عامل تهدید از آن در برابر اهداف منتخب استفاده می کند، آن را پس از هر عملیات پاکسازی می کند و به طور مداوم آن را تازه می کند، قطار خاموش نامیده شده است.

محققان Black Lotus Labs، بخش تحقیقات تهدیدات شرکت ارتباطات Lumen، به مدت سه سال Silent Train را ردیابی کرده‌اند و تأیید کردند که Volt Typhoon حداقل از چهار آسیب‌پذیری روز صفر در حملاتی که لبه‌ها و زیرساخت‌های مدیریتی را هدف قرار می‌دهند، سوء استفاده کرده است.

اهداف شامل شرکت های مخابراتی، سازمان های دولتی، پیمانکاران دفاعی، موسسات آموزشی، تاسیسات/زیرساخت های حیاتی، ارائه دهندگان خدمات ماهواره ای، شرکت های فناوری اطلاعات، MSP ها، حمل و نقل، هوانوردی و خدمات اضطراری است.

مشاهدات آزمایشگاه‌های لوتوس سیاه نشان می‌دهد که بیشترین مناطق مورد هدف کالیفرنیا، تگزاس و هاوایی هستند که نشان‌دهنده تمرکز بر موضوعات هند و اقیانوس آرام است.

ولت تایفون قبلا زیرساخت های حیاتی ایالات متحده از جمله سیستم های ارتباطات، انرژی، حمل و نقل و آب را هدف قرار داده بود و CISA هشدار داد که به دنبال ایجاد دسترسی برای اختلال احتمالی در طول یک بحران یا درگیری آینده است.

به گفته محققان، استقرار Silent Train تا حدودی به دلیل اختلال FBI در KV-Botnet، بات نتی که Volt Typhoon برای فرار از شناسایی در هنگام حمله به زیرساخت های حیاتی در ایالات متحده استفاده می کرد، تقویت شد.

Silent Train عملا یک زیرساخت رله ای است که از دستگاه های آسیب دیده تشکیل شده است که Volt Typhoon از آن برای پنهان کردن منشا حملات خود استفاده می کند.

اپراتورها فعالیت خود را از طریق زیرساخت VPS در خارج از ایالات متحده هدایت می کنند، سپس آن را از طریق دستگاه های هک شده مانند روترهایی که قبل از شروع حملات به عنوان رله های میانی عمل می کنند، عبور می دهند.

Black Lotus Labs می‌گوید که مودم‌های Intelbras به عنوان رله‌های خارج از کشور عمل می‌کردند، در حالی که دستگاه‌های Netgear Orbi در ایالات متحده به عنوان hop عمل می‌کردند.

استفاده عامل تهدید از Silent Train شامل سوء استفاده از آسیب‌پذیری‌ها، سرقت اعتبار، استخراج داده‌ها و حفظ دسترسی از راه دور دائمی به سیستم‌های در معرض خطر است.

با نظارت بر فعالیت قطار خاموش، محققان توانستند بهره برداری های روز صفر را برای محصولات زیر مشاهده کنند:

به خطر انداختن این پلتفرم‌ها به عوامل تهدید، کنترل مدیریتی گسترده‌ای می‌دهد، امکان سرقت اعتبار، دسترسی از راه دور، و دسترسی به مشتریان پایین‌دستی را بدون حرکت جانبی «پر سر و صدا» که ممکن است باعث شناسایی شود، می‌دهد.

Black Lotus Labs امروز در گزارشی توضیح می‌دهد: «برای ساخت این جلسات، اپراتورهای آن از رابط‌های وب در معرض در SOHO، IoT و دیگر دستگاه‌های رله سوء استفاده می‌کنند، سپس تنها ابزار مورد نیاز برای فعال کردن دسترسی زنجیره‌ای SSH از طریق گره آسیب‌دیده را مستقر می‌کنند.»

این شامل سرویس‌های موقت SSH، کلیدها، فایل‌های پیکربندی، و ابزارهای «زندگی خارج از زمین» بود.»

پس از پایان جلسه، معمولا در کمتر از 8 ساعت، عوامل تهدید تمام ابزار، کلیدها و فایل‌های پیکربندی خود را از رله‌های یکبار مصرف حذف می‌کنند.

در اوایل سال 2025، محققان متوجه شدند که این چارچوب با استفاده از رله‌های یکبار مصرف در کنار سیستم‌های سازمانی آسیب‌دیده که بین یک تا سه ماه حفظ شده‌اند، ترکیبی شده است.

Black Lotus Labs معتقد است قطار خاموش برای اهداف با ارزش بالا و عملیات دقیق و عملی انجام شده در منطقه زمانی استاندارد چین (CST) رزرو شده است. استفاده از روزهای صفر علیه آن اهداف، این فرض را بیشتر تقویت می کند.

محققان تقویت امنیت در اطراف سیستم‌های مدیریت متمرکز، محدود کردن دسترسی به اینترنت به رابط‌های اداری، وصله سریع آسیب‌پذیری‌ها و متمرکز کردن گزارش‌ها با نگهداری طولانی‌تر را توصیه می‌کنند.

آنها همچنین نظارت بر فعالیت‌های اداری غیرمعمول، بررسی اتصالات قابل اعتمادی که می‌توانند شبکه‌های مشتری یا شریک را در معرض دید قرار دهند و پیروی از راهنمایی‌های CISA و NCSC در مورد Volt Typhoon توصیه می‌کنند.

نمرات کلی پیشگیری می تواند اتفاقات پس از دسترسی اولیه را پنهان کند. هنگامی که مهاجمان از اعتبارنامه های معتبر استفاده می کنند، پیشگیری به شدت کاهش می یابد.

گزارش آبی 2026 تکنیک دفاعی را با تکنیک در 338 میلیون شبیه سازی اجرا شده در محیط های تولید مشتری اندازه گیری می کند.

FBI ابزارهای هک چینی را که برای نقض زیرساخت های حیاتی استفاده می شود، مختل می کند

هکرهای چینی Fire Ant روترهای سیسکو را به پلتفرم های جاسوسی تبدیل می کنند

غول انرژی ENGIE نقض اطلاعاتی را که بر مشتریان تأثیر می گذارد فاش می کند

Ahold Delhaize: حمله سایبری بر خدمات در سراسر ایالات متحده و اروپا تأثیر می گذارد