Segurança · 31 de outubro de 2026
Grupo Volt Typhoon utiliza estrutura Silent Train para ocultar ataques de dia zero
O grupo de hackers patrocinado pelo estado chinês Volt Typhoon utilizou a estrutura denominada Silent Train para realizar ataques de dia zero contra sistemas de alto valor. Essa estrutura baseia-se em cadeias rotativas de dispositivos conectados que são comprometidos sob demanda.
O Silent Train funciona como uma infraestrutura de retransmissão composta por dispositivos comprometidos para esconder a origem das atividades. Os operadores roteiam suas ações através de infraestruturas de servidores virtuais privados fora dos Estados Unidos e, em seguida, passam por dispositivos hackeados, como roteadores, que servem como retransmissões intermediárias. Modems da Intelbras foram utilizados como retransmissões no exterior, enquanto dispositivos Netgear Orbi atuaram como saltos dentro dos Estados Unidos.
Pesquisadores do Black Lotus Labs, divisão de pesquisa de ameaças da empresa de comunicações Lumen, monitoraram o Silent Train por três anos. Eles confirmaram que o Volt Typhoon explorou ao menos quatro vulnerabilidades de dia zero em ataques contra infraestruturas de gerenciamento e de borda. A implantação do Silent Train foi impulsionada em parte pela interrupção da KV-Botnet, uma rede de robôs usada anteriormente pelo grupo para evitar a detecção.
Os alvos incluem agências governamentais, empresas de telecomunicações, prestadores de serviços de satélite, contratados de defesa, institutos educacionais, empresas de tecnologia da informação, provedores de serviços gerenciados, serviços de emergência, aviação, transporte e infraestruturas críticas ou utilidades. As observações indicam que as regiões mais visadas são o Havaí, o Texas e a Califórnia, o que sugere um foco em questões do Indo-Pacífico.
O uso da estrutura envolve a exploração de vulnerabilidades, roubo de credenciais, exfiltração de dados e a manutenção de acesso remoto persistente. Os operadores exploram interfaces web expostas em dispositivos de internet das coisas, de escritório doméstico e outras retransmissões, implantando apenas as ferramentas necessárias para permitir o acesso via SSH em cadeia. Após o término da sessão, que geralmente dura menos de 8 horas, as ferramentas, chaves e arquivos de configuração são removidos dos retransmissores descartáveis.
Até o início de 2025, a estrutura tornou-se híbrida, utilizando retransmissores descartáveis junto com sistemas empresariais comprometidos que eram mantidos por um a três meses. O Black Lotus Labs acredita que o Silent Train foi reservado para operações manuais cuidadosas e alvos de alto valor, conduzidas no fuso horário da China Standard Time.