Volt Typhoon, Sıfır Gün Saldırılarını Gizlemek İçin Silent Train Çerçevesini Kullanıyor

city skyline during night time — Henry Chen / Unsplash

Çin devlet destekli hacker grubu Volt Typhoon, yüksek değerli sistemleri hedef alan sıfır gün saldırıları da dahil olmak üzere, talep üzerine ele geçirilmiş bağlantılı cihazların dönen zincirlerine dayanan bir çerçeve kullanmaktadır.

Silent Train olarak adlandırılan bu çerçeve, tehdit aktörünün seçili hedeflere karşı kullanması, her operasyondan sonra temizlemesi ve sürekli yenilemesi nedeniyle bu ismi almıştır. Lumen iletişim şirketinin tehdit araştırma bölümü olan Black Lotus Labs araştırmacıları, Silent Train'i üç yıldır takip etmekte olup Volt Typhoon'un kenar ve yönetim altyapısını hedef alan saldırılarda en az dört sıfır gün açığından yararlandığını doğrulamıştır.

Saldırıların hedefleri arasında telekomünikasyon firmaları, devlet kurumları, savunma yüklenicileri, eğitim kurumları, kamu hizmetleri, kritik altyapılar, uydu hizmet sağlayıcıları, bilişim firmaları, yönetilen hizmet sağlayıcıları, ulaşım, havacılık ve acil servisler yer almaktadır. Gözlemler, en çok hedef alınan bölgelerin Kaliforniya, Teksas ve Hawaii olduğunu göstermektedir.

Silent Train, Volt Typhoon'un saldırılarının kaynağını gizlemek için kullandığı, ele geçirilmiş cihazlardan oluşan bir aktarma altyapısıdır. Operatörler, faaliyetlerini Amerika Birleşik Devletleri dışındaki sanal özel sunucu altyapıları üzerinden yönlendirmekte, ardından saldırıları başlatmadan önce ara aktarıcılar olarak görev yapan yönlendiriciler gibi hacklenmiş cihazlar üzerinden geçirmektedir. Intelbras modemlerin yurt dışı aktarıcıları, Netgear Orbi cihazlarının ise Amerika Birleşik Devletleri'ndeki sıçrama noktaları olarak hizmet ettiği belirtilmiştir.

Bu çerçeve üzerinden yürütülen faaliyetler, güvenlik açıklarının istismar edilmesini, kimlik bilgilerinin çalınmasını, verilerin sızdırılmasını ve ele geçirilen sistemlere kalıcı uzaktan erişimin sağlanmasını içermektedir. Operatörler, SOHO, nesnelerin interneti ve diğer aktarıcı cihazlardaki açık web arayüzlerini istismar ederek zincirleme SSH erişimini sağlamak için yalnızca gerekli araçları dağıtmaktadır. Genellikle sekiz saatten kısa süren oturum sona erdikten sonra, tüm araçlar, anahtarlar ve yapılandırma dosyaları tek kullanımlık aktarıcılardan kaldırılmaktadır.

Araştırmacılar, 2025 yılı başlarına kadar çerçevenin, tek kullanımlık aktarıcıların yanı sıra bir ila üç ay boyunca tutulan ele geçirilmiş kurumsal sistemleri de kullanan hibrit bir yapıya dönüştüğünü fark etmiştir. Silent Train'in yüksek değerli hedefler ve Çin Standart Saati diliminde yürütülen dikkatli operasyonlar için ayrıldığına inanılmaktadır. Bu yöntemin yaygınlaşmasının, FBI'ın Volt Typhoon tarafından kullanılan KV-Botnet'i dağıtmasıyla kısmen tetiklendiği bildirilmektedir.