---
title: Volt Typhoon utilizou rede oculta Silent Train em quatro campanhas de exploração de vulnerabilidades zero-day
url: https://www.dataloco.com/pt-br/volt-typhoon-utilizou-rede-oculta-silent-train-em-quatro-campanhas-de-exploracao-de-vulnerabilidades-zero-day
published: 2026-10-31T14:23:14+00:00
language: pt-br
section: Segurança
source: https://thehackernews.com/2026/10/volt-typhoon-used-covert-silent-train.html
organizations: Volt Typhoon, Lumen Technologies, Black Lotus Labs
publisher: Dataloco
---

# Volt Typhoon utilizou rede oculta Silent Train em quatro campanhas de exploração de vulnerabilidades zero-day

O grupo de espionagem cibernética Volt Typhoon, vinculado à China, utilizou a rede de acesso oculta Silent Train, que agora foi interrompida, para realizar acessos estratégicos e explorações de vulnerabilidades zero-day.

Identificada no final de 2023, a Silent Train opera por meio de cadeias rotativas de infraestruturas comprometidas de empresas, internet das coisas e escritórios domésticos. A rede utiliza operações compartimentadas, técnicas antiforense e limpeza após as operações para reduzir a detecção e a atribuição.

O objetivo principal da rede é facilitar fases críticas de ataques, incluindo a exfiltração de dados, o acesso a credenciais, a exploração de vulnerabilidades e a manutenção de acesso contínuo aos ambientes das vítimas. Centenas de vítimas foram identificadas, abrangendo provedores de telecomunicações, governo, universidades, empresas de tecnologia da informação e contratados de defesa. A rede também atingiu serviços de comunicação de missão crítica e satélites, além de infraestruturas críticas como energia, água, transporte, aviação, serviços de emergência, ferroviário e marítimo.

As descobertas do Black Lotus Labs indicam que o grupo realizou quatro campanhas confirmadas de zero-day através da Silent Train. Uma dessas campanhas explorou a vulnerabilidade de upload de arquivo CVE-2024-39717 no Versa Director para implantar o VersaMem, um shell web personalizado para coletar credenciais e acessar clientes subsequentes. Além disso, o Volt Typhoon é suspeito de ter aproveitado uma provável vulnerabilidade zero-day no Quest KACE antes de uma correção em outubro de 2025, impactando possivelmente mais de 30 vítimas.

A Silent Train é descrita como uma estrutura de múltiplos saltos e camadas que retransmite tráfego malicioso por vários dispositivos para ocultar a origem dos ataques. No total, 27 classes de dispositivos foram exploradas, incluindo plataformas empresariais como Cisco, Fortinet, CyberPanel, Mirth Connect e PRTG, além de dispositivos de escritório e internet das coisas de marcas como Zyxel, NETGEAR, SATO, Ruckus Wireless, Intelbras e TP-Link.

O modelo operacional prioriza sessões autogerenciadas de curta duração, com média de quatro horas, em vez de infraestruturas persistentes. Os operadores exploram interfaces web expostas e implantam apenas as ferramentas necessárias para acesso SSH encadeado, removendo todos os artefatos ao final. Certos dispositivos possuem funções fixas: modems Intelbras atuam apenas como nós de retransmissão, enquanto aparelhos Fortinet FortiGate e Netgear Orbi servem como pontos de saída e intermediários baseados nos Estados Unidos.

A capacidade de acesso oculta começou a se formar em novembro de 2023, pouco antes da interrupção da botnet KV-botnet. A atividade da Silent Train aumentou após a segunda interrupção dessa botnet, no final de janeiro de 2024, migrando para uma infraestrutura efêmera. No início de 2025, a rede teria evoluído para uma arquitetura híbrida, mantendo dispositivos de nível empresarial por um período médio de um a três meses.