Sicurezza · 31 ottobre 2026
Volt Typhoon utilizza il framework Silent Train per nascondere attacchi zero-day
Il gruppo di hacker sponsorizzato dallo stato cinese Volt Typhoon ha utilizzato un framework che si basa su catene rotanti di dispositivi connessi e compromessi su richiesta, inclusi attacchi zero-day diretti a sistemi di alto valore.
Il framework, denominato Silent Train, viene utilizzato contro obiettivi selezionati, viene ripulito dopo ogni operazione e aggiornato continuamente. I ricercatori di Black Lotus Labs, la divisione di ricerca sulle minacce della società di comunicazioni Lumen, hanno monitorato Silent Train per tre anni e hanno confermato che Volt Typhoon ha sfruttato almeno quattro vulnerabilità zero-day in attacchi contro l'infrastruttura di gestione e di bordo.
Gli obiettivi includono aziende di telecomunicazioni, agenzie governative, appaltatori della difesa, istituti educativi, servizi di pubblica utilità e infrastrutture critiche, fornitori di servizi satellitari, aziende informatiche, fornitori di servizi gestiti, trasporti, aviazione e servizi di emergenza. Le osservazioni indicano che le regioni più colpite sono California, Texas e Hawaii, il che suggerisce un interesse per questioni relative all'Indo-Pacifico.
Silent Train funge da infrastruttura di relè composta da dispositivi compromessi per nascondere l'origine degli attacchi. Gli operatori instradano l'attività attraverso infrastrutture di server privati virtuali fuori dagli Stati Uniti, passandola poi attraverso dispositivi hackerati, come i router, che fungono da relè intermedi. I modem Intelbras sono serviti come relè all'estero, mentre i dispositivi Netgear Orbi hanno agito come saltelli negli Stati Uniti.
L'implementazione di Silent Train è stata in parte alimentata dall'interruzione di KV-Botnet da parte dell'FBI, una botnet che Volt Typhoon utilizzava per evitare il rilevamento durante gli attacchi alle infrastrutture critiche statunitensi. L'uso di questo framework comporta lo sfruttamento di vulnerabilità, il furto di credenziali, l'esfiltrazione di dati e il mantenimento di un accesso remoto persistente.
Per costruire queste sessioni, gli operatori sfruttano interfacce web esposte su dispositivi di ufficio domestico, internet delle cose e altri relè, distribuendo solo gli strumenti necessari per consentire l'accesso a shell sicura a catena. Questo include servizi a shell sicura temporanei, chiavi, file di configurazione e utilità di sistema. Dopo la sessione, che dura solitamente meno di 8 ore, gli hacker rimuovono tutti gli strumenti e le chiavi dai relè usa e getta.
Entro l'inizio del 2025, i ricercatori hanno notato che il framework è diventato ibrido, utilizzando relè usa e getta insieme a sistemi aziendali compromessi mantenuti tra uno e tre mesi. Black Lotus Labs ritiene che Silent Train fosse riservato a obiettivi di alto valore e a operazioni manuali condotte nel fuso orario della Cina Standard.