Sikkerhet · 31. oktober 2026
Kinesisk hackergruppe bruker Silent Train for å skjule angrep
Den kinesiske statsstøttede hackergruppen Volt Typhoon har benyttet et rammeverk kalt Silent Train for å skjule sine angrep, inkludert utnyttelse av nulldagssårbarheter mot høyverdige systemer.
Rammeverket fungerer som en reléinfrastruktur bestående av kompromitterte enheter som brukes for å skjule opprinnelsen til angrepene. Operatørene ruter aktiviteten sin gjennom VPS-infrastruktur utenfor USA, og sender den deretter gjennom hackede enheter, som rutere, som fungerer som mellomliggende reléer. Black Lotus Labs rapporterer at Intelbras-modemer fungerte som reléer i utlandet, mens Netgear Orbi-enheter ble brukt som hopp i USA.
Silent Train baserer seg på roterende kjeder av enheter som kompromitteres ved behov. Angriperne utnytter eksponerte webgrensesnitt på SOHO, IoT og andre reléenheter, og ruller ut kun verktøyene som er nødvendige for å muliggjøre kjedet SSH-tilgang. Dette inkluderer midlertidige SSH-tjenester, nøkler, konfigurasjonsfiler og verktøy for lokal utnyttelse. Etter at en økt avsluttes, noe som vanligvis skjer på under åtte timer, fjerner aktørene alle verktøy og filer fra de engangsbaserte reléene.
Forskere fra Black Lotus Labs, som er forskningsavdelingen for trusler hos Lumen, har sporet Silent Train i tre år. De bekrefter at Volt Typhoon utnyttet minst fire nulldagssårbarheter i angrep mot infrastruktur for styring og kantdrift. Fra begynnelsen av 2025 ble rammeverket hybrid, ved at det kombinerte engangsreléer med kompromitterte bedriftssystemer som ble beholdt i mellom én og tre måneder.
Målene inkluderer telekommunikasjonsfirmaer, offentlige etater, forsvarsentreprenører, utdanningsinstitusjoner, kritisk infrastruktur, leverandører av satellittjenester, IT-firmaer, administrerte tjenesteleverandører, transport, luftfart og nødetater. Observasjoner tyder på at California, Texas og Hawaii er de mest utsatte regionene, noe som kan tyde på et fokus på Indo-Stillehavet.
Utviklingen av Silent Train ble delvis drevet av FBI sin forstyrrelse av KV-Botnet, et botnett Volt Typhoon tidligere brukte for å unngå oppdagelse ved angrep på kritisk infrastruktur i USA. Bruken av rammeverket innebærer utnyttelse av sårbarheter, tyveri av påloggingsinformasjon, uthenting av data og opprettholdelse av vedvarende fjerntilgang.