קבוצת ההאקינג Volt Typhoon מסוותה התקפות אפס-יום באמצעות תשתית Silent Train

Illuminated skyscrapers and elevated highways at night in the city of Shanghai — Yiran Ding / Unsplash

קבוצת ההאקינג Volt Typhoon, הנתמכת על ידי המדינה הסינית, השתמשה בתשתית המסתמכת על שרשראות מסתובבות של מכשירים פרוצים שנקבעו לפי דרישה, כולל לצורך התקפות אפס-יום המכוונות למערכות בעלות ערך גבוה.

התשתית, שזכתה לכינוי Silent Train, משמשת את התוקפים נגד יעדים נבחרים, כאשר הם מנקים את עקבותיהם לאחר כל פעולה ומחדשים אותה באופן רציף. חוקרים ב-Black Lotus Labs, חטיבת מחקר האיומים של חברת התקשורת Lumen, עקבו אחר התשתית במשך שלוש שנים ואישרו כי Volt Typhoon ניצלה לפחות ארבע פגיעויות אפס-יום בהתקפות שכוונו לתשתיות ניהול וקצה.

היעדים כוללים ספקי שירותי לוויין, חברות תקשורת, סוכנויות ממשלתיות, קבלני ביטחון, מוסדות חינוך, תשתיות קריטיות ושירותי תועלת, חברות טכנולוגיית מידע, ספקי שירותים מנוהלים, תחבורה, תעופה ושירותי חירום. התצפיות מצביעות על כך שהאזורים המותקפים ביותר הם קליפורניה, טקסס והוואי, מה שמרמז על התמקדות בענייני הודו-פסיפיק.

התשתית פועלת כתשתית ממסר המורכבת ממכשירים פרוצים כדי להסתיר את מקור ההתקפות. המפעילים מנתבים את פעילותם דרך תשתיות שרתים וירטואליים מחוץ לארצות הברית, ולאחר מכן מעבירים אותה דרך מכשירים פרוצים, כגון נתבים, המשמשים כממסרי ביניים. לפי הדיווח, מודמים של Intelbras שימשו כממסרים מעבר לים, בעוד שמכשירי Netgear Orbi שימשו כנקודות מעבר בתוך ארצות הברית.

השימוש ב-Silent Train כולל ניצול פגיעויות, גניבת אישורי גישה, חילוץ נתונים ושמירה על גישה מרחוק למערכות פרוצות. התוקפים מנצלים ממשקי אינטרנט חשופים במכשירי אינטרנט של הדברים ומכשירים ביתיים, ופורסים רק את הכלים הדרושים למעבר מאובטח. לאחר סיום הפעולה, שנמשכת בדרך כלל פחות משמונה שעות, התוקפים מסירים את כל הכלים והקבצים מהממסרים. החל מתחילת שנת 2025, התשתית הפכה להיברידית ומשלבת ממסרים חד-פעמיים לצד מערכות ארגוניות פרוצות שנשמרות בין חודש לשלושה חודשים.

הפריסה של Silent Train הונעה בחלקה מהשיבוש של KV-Botnet על ידי ה-FBI, רשת בוטים ששימשה את Volt Typhoon בעבר כדי לחמוק מגילוי בעת תקיפת תשתיות קריטיות בארצות הברית. קודם לכן, הקבוצה תקפה מערכות אנרגיה, מים, תקשורת ותחבורה, כאשר סוכנות CISA הזהירה כי היא מבקשת להשיג גישה לצורך שיבוש פוטנציאלי במהלך משבר או סכסוך עתידי.