Ta strona używa plików cookies, aby zapewnić najlepszą jakość korzystania z naszego serwisu oraz do celów analitycznych. Klikając "Akceptuję", wyrażasz zgodę na używanie wszystkich plików cookies. Możesz również odrzucić zgodę, co spowoduje zablokowanie plików cookies analitycznych. Więcej informacji znajdziesz w naszej Polityce Prywatności.
Volt Typhoon wykorzystywał rotującą sieć przejętych urządzeń w kampaniach zero-day
Silent Train tworzyła krótkotrwałe, wielowarstwowe łańcuchy przejętych urządzeń SOHO, IoT i infrastruktury firmowej.
Analitycy przypisali Volt Typhoon cztery kampanie wykorzystujące podatności zero-day.
Celami były między innymi telekomunikacja, energetyka, transport, obronność, administracja i usługi krytyczne.
Model działania zmieniał się od całkowicie tymczasowych przekaźników do hybrydowej architektury utrzymującej wybrane urządzenia przez miesiące.
Sponsorowane
Odkryj rewolucyjną metodę nauki języków
Sprawdź jak w 30 dni opanować podstawy dowolnego języka obcego bez wychodzenia z domu.
Chińsko powiązana grupa cyberszpiegowska Volt Typhoon wykorzystywała niejawną sieć dostępu o nazwie Silent Train. Według raportu Lumen Technologies Black Lotus Labs sieć została zbudowana z rotujących łańcuchów przejętych urządzeń SOHO, IoT oraz sprzętu używanego w środowiskach firmowych. Infrastruktura służyła do prowadzenia kampanii wykorzystujących podatności zero-day, uzyskiwania dostępu do kont i danych, wyprowadzania informacji oraz utrzymywania obecności w wybranych sieciach. Black Lotus Labs ocenia, że Silent Train została już zakłócona, ale sposób jej działania pokazuje, jak operatorzy mogą ukrywać dostęp za zmienną infrastrukturą złożoną z urządzeń należących do wielu organizacji.
Setki celów w strategicznych sektorach
Aktywność wyróżnia się przede wszystkim skalą i doborem ofiar. Analitycy zidentyfikowali setki podmiotów związanych z telekomunikacją, administracją, obronnością, łącznością satelitarną i usługami o znaczeniu krytycznym. Na liście sektorów znalazły się również uczelnie, firmy informatyczne, a także organizacje odpowiedzialne za wodę, energię, transport, żeglugę, kolej, lotnictwo i służby ratunkowe. Nie chodziło więc wyłącznie o pojedyncze serwery. Powtarzającym się celem były systemy zapewniające szeroki wgląd w środowisko organizacji, dostęp do centralnego zarządzania lub możliwość dalszego poruszania się po sieci.
Silent Train wykorzystywała szybko zmieniane łańcuchy przejętych urządzeń, które dobierano do konkretnych operacji.
Słownik artykułu
Pojęcia, które warto znać
Krótkie objaśnienia terminów występujących w tekście. Każde hasło prowadzi do szerszej definicji i przykładów użycia.
W sieci zarejestrowano 27 klas urządzeń, od sprzętu SOHO i IoT po platformy używane w przedsiębiorstwach.
Sesje operacyjne trwały średnio około czterech godzin, a niektóre kończyły się po kilku minutach.
Szczególną uwagę poświęcano sieciom związanym z obronnością, logistyką, komunikacją i infrastrukturą wojskową.
Cztery kampanie zero-day przypisane grupie
Volt Typhoon, znany również pod nazwami Bronze Silhouette, Insidious Taurus, UNC3236, Vanguard Panda i Voltzite, jest przypisywany chińskim interesom państwowym. Grupa działa co najmniej od 2021 roku i była wcześniej obserwowana podczas ataków na sieci komunikacyjne, energetyczne, transportowe oraz systemy wodociągowe i kanalizacyjne. W jednym z opisanych przypadków wykorzystała jako zero-day lukę w Versa Director, oznaczoną jako CVE-2024-39717. Po uzyskaniu dostępu wdrożono specjalny web shell VersaMem, który służył do pozyskiwania danych uwierzytelniających i otwierania dostępu do kolejnych klientów. Raport przypisuje grupie cztery kampanie zero-day przeprowadzone za pośrednictwem Silent Train, jednak w dostarczonym opisie szczegółowo wymieniono tylko kampanię dotyczącą Versa Director. Osobno Volt Typhoon podejrzewa się o wykorzystanie prawdopodobnej luki zero-day w Quest KACE przed wydaniem poprawki w październiku 2025 roku. Ta kampania miała objąć ponad 30 ofiar.
Łańcuch przekaźników zamiast stałej infrastruktury
Silent Train działała jako warstwowa infrastruktura wieloskokowa. Ruch związany z operacją był przekazywany przez kilka przejętych urządzeń, zanim dotarł do celu. Każdy element łańcucha mógł pełnić określoną funkcję, a część typów sprzętu była przypisywana do konkretnych pozycji. Modemy Intelbras obserwowano przede wszystkim jako węzły przekaźnikowe. Urządzenia Netgear Orbi i Fortinet FortiGate występowały natomiast jako pośrednicy lub punkty wyjściowe znajdujące się w Stanach Zjednoczonych, odpowiedzialne za kontakt z ofiarą. Taki podział wskazuje na celową compartmentalizację operacji, czyli rozdzielenie funkcji pomiędzy warstwy, przy jednoczesnym zmienianiu konkretnych urządzeń tworzących infrastrukturę.
W całym modelu wykorzystano co najmniej 27 klas urządzeń. Obejmowały one między innymi sprzęt TP-Link, Intelbras, Ruckus Wireless, SATO, NETGEAR, Zyxel i Cambium, a także platformy firmowe Fortinet, Cisco, PRTG, Mirth Connect i CyberPanel. Sama obecność takich urządzeń w łańcuchu nie oznacza, że ich producenci byli organizatorami operacji. Sprzęt należał do przejętej infrastruktury pośredniej, a jego różnorodność utrudniała obrońcom szybkie rozpoznanie pełnego szlaku komunikacji. Dla atakujących oznaczało to także możliwość wymiany poszczególnych ogniw bez przebudowy całego sposobu działania.
Krótkie sesje i usuwanie śladów
Według Black Lotus Labs operatorzy unikali budowania trwałej infrastruktury sterującej. Po przejęciu urządzeń przygotowywali jedynie tymczasowe składniki potrzebne do zestawienia połączeń przez kolejne węzły, a po zakończeniu operacji usuwali pozostawione artefakty i rozmontowywali cały łańcuch. Wykorzystywano także narzędzia już obecne w systemach, co ograniczało liczbę dodatkowych plików i procesów, które mogłyby zwrócić uwagę administratorów. Sesje trwały średnio około czterech godzin, lecz część z nich zamykała się w czasie liczonym w minutach. Takie podejście miało utrudniać wykrycie, przypisanie operacji konkretnej grupie oraz odtworzenie przebiegu ataku po fakcie.
Ewolucja po zakłóceniu KV-botnet
Silent Train zaczęła nabierać kształtu około listopada 2023 roku, kilka tygodni przed pierwszą falą działań wymierzonych w KV-botnet, czyli sieć urządzeń IoT przypisywaną kilku chińsko powiązanym grupom państwowym, w tym Volt Typhoon. Aktywność Silent Train miała wyraźnie wzrosnąć po drugim zakłóceniu działania tego botnetu pod koniec stycznia 2024 roku. W tym samym czasie infrastruktura przesunęła się w stronę krótkotrwałych połączeń wykorzystujących urządzenia różnych typów i znajdujące się w różnych lokalizacjach. Zamiast utrzymywać stałe przekaźniki, operatorzy mogli tworzyć łańcuch na potrzeby wybranej operacji, a następnie szybko go usuwać i odtwarzać w innej konfiguracji.
Do początku 2025 roku model miał stać się hybrydowy. Część urządzeń klasy korporacyjnej pozostawała w użyciu średnio od jednego do trzech miesięcy, zamiast znikać po każdym pojedynczym działaniu. Pojawiły się również warianty tuneli zwrotnych wykorzystujące otwartoźródłowe narzędzia pośredniczące. Oznacza to odejście od jednej, niezmiennej formy operacji na rzecz infrastruktury dobieranej do celu i aktualizowanej zależnie od potrzeb. Dla zespołów bezpieczeństwa utrudnia to oparcie detekcji wyłącznie na adresach, nazwach hostów lub innych stałych cechach infrastruktury.
Koncentracja na dostępie do sieci o dużym znaczeniu
W Stanach Zjednoczonych działalność Silent Train koncentrowała się między innymi na Hawajach, w Kalifornii i Teksasie. W tych stanach znajdują się instalacje wojskowe, operatorzy telekomunikacyjni, firmy z sektora obronnego, dostawcy łączności satelitarnej oraz ważne sieci logistyczne. Według Black Lotus Labs dobór ofiar wskazuje na próbę utrzymania dostępu do ekosystemów wspierających obronność, logistykę, komunikację i działania wojskowe oraz cywilne, zwłaszcza w okresach podwyższonego napięcia w regionie Indo-Pacyfiku. To właśnie centralne platformy zarządzania i technologie sterowania siecią były szczególnie atrakcyjne, ponieważ przejęcie dostępu do nich może zapewnić szerszy wgląd niż atak na pojedynczy system użytkownika.
Raport pokazuje, że zagrożenie nie ogranicza się do samego wykorzystania luki w konkretnym produkcie. Równie ważna jest późniejsza organizacja dostępu, dobór pośredników i tempo usuwania śladów. Dla obrońców oznacza to potrzebę łączenia informacji o podatnościach z obserwacją nietypowych zmian w urządzeniach brzegowych, krótkotrwałych połączeń między różnymi klasami sprzętu oraz prób dostępu do centralnych systemów zarządzania. W przypadku infrastruktury krytycznej istotne jest także analizowanie zależności między organizacjami, ponieważ przejęte urządzenie należące do jednego podmiotu może zostać wykorzystane jako punkt pośredni przeciwko innemu.
