Sicherheit · 31. Oktober 2026
Chinesische Hackergruppe nutzt „Stille Bahn“ für Nulltag-Angriffe
Die chinesische staatlich geförderte Hackergruppe Volt Typhoon hat ein Framework eingesetzt, das auf rotierenden Ketten kompromittierter Geräte basiert, um Nulltag-Angriffe auf hochrangige Systeme durchzuführen. Diese Infrastruktur wurde von den Forschern als „Stille Bahn“ bezeichnet, da die Angreifer sie gezielt gegen ausgewählte Ziele einsetzen, nach jeder Operation aufräumen und sie kontinuierlich aktualisieren.
Forscher der Black Lotus Labs, der Bedrohungsrecherche-Abteilung des Telekommunikationsunternehmens Lumen, haben dieses Vorgehen seit drei Jahren beobachtet. Sie bestätigten, dass Volt Typhoon mindestens vier Nulltag-Schwachstellen ausnutzte, um Edge- und Management-Infrastruktur anzugreifen. Zu den betroffenen Sektoren gehören Telekommunikationsunternehmen, Regierungsstellen, Verteidigungsauftragnehmer, Bildungseinrichtungen, kritische Infrastrukturen wie Energieversorger, Satellitenanbieter, IT-Firmen, Managed Service Provider, der Verkehrssektor, die Luftfahrt und Notdienste.
Die Beobachtungen deuten darauf hin, dass die Regionen Kalifornien, Texas und Hawaii am häufigsten angegriffen wurden, was auf einen Fokus auf Angelegenheiten im indo-pazifischen Raum schließen lässt. Die Gruppe hatte zuvor bereits kritische Infrastrukturen in den Vereinigten Staaten, einschließlich Kommunikations-, Energie-, Verkehrs- und Wasserversorgungssysteme, ins Visier genommen. Die Cybersecurity and Infrastructure Security Agency (CISA) hatte davor gewarnt, dass die Gruppe Zugang aufbauen will, um in einer zukünftigen Krise oder einem Konflikt Störungen zu verursachen.
Die Forscher vermuten, dass die Ausbreitung der „Stillen Bahn“ teilweise durch die Störung des KV-Botnets durch das FBI vorangetrieben wurde, das Volt Typhoon zuvor zur Tarnung bei Angriffen auf kritische Infrastrukturen in den USA genutzt hatte. Die Infrastruktur fungiert als Relais aus kompromittierten Geräten, um den Ursprung der Angriffe zu verbergen. Die Angreifer leiten ihre Aktivitäten über virtuelle Private Server außerhalb der Vereinigten Staaten, bevor sie über gehackte Geräte wie Router als Zwischenrelais weitergeleitet werden. Laut Black Lotus Labs dienten Intelbras-Modems als ausländische Relais, während Netgear Orbi-Geräte als Sprungpunkte in den USA fungierten.
Der Einsatz des Frameworks umfasst das Ausnutzen von Schwachstellen, das Stehlen von Zugangsdaten, die Exfiltration von Daten und die Aufrechterhaltung eines dauerhaften Fernzugriffs. Die Angreifer nutzen exponierte Web-Schnittstellen auf SOHO- und IoT-Geräten, um nur die notwendige Werkzeuge für verketteten SSH-Zugang zu deployen. Nach Beendigung der Sitzung, die typischerweise unter acht Stunden dauert, entfernen die Angreifer alle Werkzeuge, Schlüssel und Konfigurationsdateien von den Wegwerf-Relais. Anfang 2025 wurde das Framework hybrid, indem es Wegwerf-Relais mit kompromittierten Unternehmenssystemen kombinierte, die zwischen einem und drei Monaten beibehalten wurden. Die Forscher empfehlen, die Sicherheit zentraler Managementsysteme zu stärken, den Internetzugang zu administrativen Schnittstellen zu beschränken, Schwachstellen schnell zu patchen und Logs zentral mit längerer Aufbewahrungsdauer zu verwalten.