セキュリティ · 2026年10月31日
中国の国家支援ハッカー集団Volt TyphoonがSilent Train枠組みを用いてゼロデイ攻撃を隠蔽
中国の国家支援を受けるハッキング集団であるVolt Typhoonが、オンデマンドで侵害された接続デバイスの回転チェーンに依存する枠組みを利用して、高価値のシステムを標的としたゼロデイ攻撃などを行っています。
この枠組みは、攻撃者が特定の標的に対して使用し、各作戦後にクリーンアップを行い、継続的に更新することから、Silent Trainと名付けられました。通信会社Lumenの脅威研究部門であるBlack Lotus Labsの研究者は、3年間にわたりSilent Trainを追跡しており、Volt Typhoonがエッジおよび管理インフラを標的とした攻撃において、少なくとも4つのゼロデイ脆弱性を悪用したことを確認しました。
標的には、電気通信会社、政府機関、防衛請負業者、教育機関、公共事業および重要インフラ、衛星サービスプロバイダー、IT企業、管理サービスプロバイダー、輸送、航空、および緊急サービスが含まれます。Black Lotus Labsの観測によれば、カリフォルニア、テキサス、ハワイが最も標的となっており、インド太平洋地域の事項に焦点が当てられていることが示唆されています。
Silent Trainは、攻撃の起点を隠すために使用される侵害済みデバイスで構成されたリレーインフラです。オペレーターは、米国以外の仮想プライベートサーバーインフラを介して活動をルーティングし、その後、攻撃を開始する前の中間リレーとして機能するルーターなどのハッキングされたデバイスを通過させます。海外のリレーとしてIntelbrasのモデムが、米国でのホップとしてNetgear Orbiのデバイスが使用されました。
この枠組みの展開は、Volt Typhoonが米国の重要インフラを攻撃する際に検知を回避するために使用していたボットネット、KV-Botnetを連邦捜査局が解体したことが一部の原因となりました。攻撃者は、SOHOやIoT、その他のリレーデバイスの公開ウェブインターフェースを悪用し、侵害されたノードを通じてチェーン状のSSHアクセスを可能にするツールのみを導入します。セッションは通常8時間以内に終了し、その後、使い捨てリレーからすべてのツール、鍵、設定ファイルが削除されます。
2025年初頭までに、この枠組みはハイブリッド形式となり、使い捨てリレーに加えて、1か月から3か月間保持される侵害された企業システムを併用するようになりました。Black Lotus Labsは、Silent Trainが高価値の標的や、中国標準時に合わせて行われる慎重な手動操作のために予約されていたと考えています。