Volt Typhoon строит эфемерную сеть Silent Train из взломанных роутеров и IoT-устройств
Группа Volt Typhoon, связанная с правительством Китая, использует эфемерную инфраструктуру Silent Train для скрытного доступа к сотням чувствительных систем, в том числе критической инфраструктуры США. Об этом говорится в отчёте исследовательского подразделения Lumen Technologies Black Lotus Labs.
Главное в цифрах
- Сроки существования цепочки: сборка менее двух минут, средняя длительность сессий около четырёх часов
- Классов устройств, использованных в операциях: более 27
- Количество уведомлённых жертв: сотни
Silent Train, это не отдельная сеть, а цепочка взломанных SOHO-роутеров, устройств интернета вещей (IoT) и корпоративной инфраструктуры, которую Volt Typhoon с конца 2023 года быстро переключает между собой.
По данным исследователей, группа использует эту цепочку короткоживущей инфраструктуры для эксплуатации дополнительных уязвимостей, в том числе нулевого дня, в граничных сетевых устройствах и получения более глубокого и постоянного доступа к сетям жертв.
Масштаб и жертвы
Black Lotus Labs с момента обнаружения активности уведомила сотни жертв: телекоммуникационные компании, государственные структуры, оборонных подрядчиков, университеты и ИТ-фирмы. Также пострадали организации в сферах водоснабжения, энергетики, транспорта, морских перевозок, железной дороги, авиации и экстренных служб.
Вolt Typhoon использовала более 27 классов устройств, включая граничные устройства, инструменты управления предприятием, системы управления идентификацией и доступом и сетевое оборудование. По данным исследователей, группа успешно компрометировала продукты Fortinet, Cisco, ManageEngine, Ivanti, F5, Check Point, Palo Alto Networks, ServiceNow, TP-Link, Netgear и ArcGIS. Также зафиксированы кампании с нулевыми днями против Versa Director, N-Able N-Central, Cisco Catalyst SD-WAN и VeloCloud Orchestrator.
Операционная дисциплина
По словам Михаила Horka, главного инженера по информационной безопасности Black Lotus Labs, инфраструктура собирается менее чем за две минуты, а сессии в среднем длятся около четырёх часов. Исследователи отмечают тщательную очистку следов и разделение элементов цепочки.
После того как ФБР и Минюст США в начале 2024 года нарушили работу ботнета KV Botnet, Volt Typhoon стала сильнее опираться на Silent Train. Исследователи подчёркивают, что из-за эфемерности сеть невозможно измерить по размеру, а наблюдения не являются полным перечнем активности группы.