Volt Typhoon, de Chinese statelijke hackersgroep, gebruikt een eigen framework genaamd Silent Train om minstens vier zero-day-kwetsbaarheden verborgen te houden terwijl de groep ze inzet tegen edge- en beheerinfrastructuur. Dat concludeert Black Lotus Labs, de dreigingsonderzoeksdivisie van telecombedrijf Lumen, in een rapport dat op 28 oktober verscheen. Black Lotus Labs volgt het framework al drie jaar.
Silent Train draait om roterende ketens van verbonden apparaten die telkens op verzoek worden gecompromitteerd. De onderzoekers noemen het framework “silent” omdat de aanvallers het alleen tegen zorgvuldig geselecteerde doelwitten inzetten, na elke operatie weer opruimen en voortdurend vernieuwen. Het verkeer loopt eerst via VPS-infrastructuur buiten de Verenigde Staten en vervolgens via gehackte apparaten die als tussenstation fungeren. Volgens Black Lotus Labs dienden Intelbras-modems als relay in het buitenland, terwijl gekaapte Netgear Orbi-routers als tussenstop in de VS werden gebruikt.
De aanvallers misbruiken blootgestelde webinterfaces op soho-, iot- en andere relay-apparaten en installeren vervolgens alleen het minimaal noodzakelijke om gekoppelde ssh-toegang door het gecompromitteerde knooppunt mogelijk te maken: tijdelijke ssh-diensten, sleutels, configuratiebestanden en living-off-the-land-hulpprogramma’s. Zodra een sessie voorbij is, meestal binnen acht uur, verwijderen de aanvallers alle tooling, sleutels en configuratiebestanden weer van de wegwerprelay. Vanaf begin 2025 werd het framework hybride: naast wegwerprelays houden de aanvallers gecompromitteerde bedrijfssystemen soms één tot drie maanden vast. Silent Train omvat daarbij het misbruiken van kwetsbaarheden, het stelen van inloggegevens, het exfiltreren van data en het opzetten van blijvende externe toegang. De onderzoekers zien de ontwikkeling van het framework mede als reactie op de verstoring van het KV-botnet door de FBI, dat Volt Typhoon eerder gebruikte om detectie te ontlopen.
Als zero-day werden onder meer CVE-2026-16812 in VeloCloud Orchestrator, CVE-2026-20127 in Cisco Catalyst SD-WAN, CVE-2025-8875 en CVE-2025-8876 in N-able N-central, en CVE-2024-39717 in Versa Director ingezet. Ook voor Quest KACE vermoeden de onderzoekers een zero-day, maar dat is niet bevestigd. Door dit soort beheerplatforms te compromitteren krijgen de aanvallers brede beheerdersrechten, waarmee ze inloggegevens kunnen stelen en downstream-klanten kunnen bereiken zonder opvallende laterale bewegingen te maken.
De aanvallen troffen vooral telecombedrijven, overheidsinstanties, defensiecontractors, onderwijsinstellingen, nutsbedrijven, satellietproviders, IT-bedrijven, MSP’s, transport, luchtvaart en hulpdiensten. In de VS vielen vooral Californië, Texas en Hawaï op, wat volgens de onderzoekers wijst op een focus op Indo-Pacifische aangelegenheden. CISA waarschuwde eerder al dat Volt Typhoon toegang tot Amerikaanse kritieke infrastructuur opbouwt om die bij een toekomstig conflict te kunnen verstoren.
Black Lotus Labs adviseert organisaties om centrale beheersystemen beter te beveiligen, internettoegang tot beheerinterfaces te beperken, kwetsbaarheden snel te patchen, logs centraal en langer te bewaren, en te letten op ongebruikelijke beheeractiviteit en vertrouwde verbindingen met klant- of partnernetwerken. Voor Nederlandse organisaties met edge-apparatuur van deze leveranciers is dit een goed moment om te controleren of alle beschikbare patches zijn toegepast en beheerinterfaces niet onnodig vanaf het internet bereikbaar zijn.
Bron: BleepingComputer
Zelfde kwetsbaarheid
Blijf op de hoogte
Meld je aan voor de nieuwsbrief: spoedalerts bij kritieke dreigingen en een wekelijks overzicht. Geen mail achterlaten? Volg ons dan via RSS.