Китайская группировка Volt Typhoon использовала инфраструктуру Silent Train Volt Typhoon для скрытных атак на ценные цели и как минимум четыре уязвимости нулевого дня в системах управления сетями. Это важный сигнал и для российских компаний: публично доступные консоли администрирования, сетевые устройства и MSP-платформы остаются удобной точкой входа, если их защита сводится к паролю и надежде.
О схеме сообщает BleepingComputer со ссылкой на исследователей Black Lotus Labs — подразделения Lumen, которое наблюдало за Silent Train три года. Исследователи связывают инфраструктуру с Volt Typhoon и считают, что она применялась против телеком-компаний, госорганов, оборонных подрядчиков, вузов, коммунальных и энергетических организаций, спутниковых операторов, IT-компаний, провайдеров управляемых услуг, транспорта, авиации и экстренных служб.
Название Silent Train хорошо описывает тактику: это не постоянный ботнет с заметной управляющей инфраструктурой, а регулярно обновляемая цепочка взломанных устройств. Операторы выбирают отдельную цель, собирают маршрут из скомпрометированных узлов, проводят операцию и убирают следы. На промежуточных устройствах оставляют лишь минимальный набор для SSH-переходов: временные сервисы, ключи, конфигурацию и штатные утилиты ОС. Обычно всё это удаляется менее чем через восемь часов.
Маршрут начинался с VPS за пределами США, затем проходил через взломанные роутеры и другие подключённые устройства, после чего атака шла на конечную систему. В наблюдаемой кампании модемы Intelbras использовались как зарубежные ретрансляторы, а Netgear Orbi — как промежуточные точки в США. Такой дизайн усложняет расследование: IP-адрес, с которого пришла атака, часто принадлежит обычному скомпрометированному устройству, а не инфраструктуре атакующих.
Нулевые дни в системах, которым доверяют слишком много
Black Lotus Labs зафиксировала эксплуатацию CVE-2026-16812 в VeloCloud Orchestrator, CVE-2026-20127 в Cisco Catalyst SD-WAN, CVE-2025-8875 и CVE-2025-8876 в N-able N-central, а также предполагаемую уязвимость нулевого дня в Quest KACE. Общий знаменатель здесь важнее списка брендов: это продукты с централизованным управлением сетью, устройствами или клиентской инфраструктурой. Получив доступ к такой консоли, атакующий может собрать учётные данные, закрепиться удалённо и добраться до связанных систем без шумного сканирования и бокового перемещения по каждому серверу.
Особенно неприятен аспект с MSP и управляющими платформами. Взлом одной администраторской системы потенциально открывает путь не к одному хосту, а к множеству клиентских окружений и филиалов. Для IT-директора это аргумент смотреть на RMM, SD-WAN-оркестраторы и консоли сетевого управления как на критические активы, а не как на «служебные веб-интерфейсы», которыми занимается инфраструктурная команда.
Исследователи связывают развитие Silent Train с операцией ФБР против KV-Botnet — ботнета, который Volt Typhoon ранее использовала для сокрытия атак на критическую инфраструктуру США. После нарушения этой схемы группа, судя по наблюдениям, перешла к более гибкой модели с устройствами, компрометируемыми по требованию. К началу 2025 года модель стала гибридной: одноразовые ретрансляторы дополнялись скомпрометированными корпоративными системами, которые сохранялись в распоряжении операторов от одного до трёх месяцев.
География наблюдаемых жертв тоже говорит о приоритетах: чаще всего исследователи видели цели в Калифорнии, Техасе и на Гавайях. Black Lotus Labs предполагает связь с интересами Китая в Индо-Тихоокеанском регионе. Ранее CISA предупреждала, что Volt Typhoon стремится закрепиться в американских коммуникационных, энергетических, транспортных и водных системах, чтобы сохранить возможность нарушения их работы в период будущего кризиса или конфликта. Silent Train выглядит как инфраструктурная надстройка для таких точечных операций, а не инструмент массового вымогательства.
Что проверить в своей инфраструктуре
Для команд защиты практический вывод довольно приземлённый. Административные интерфейсы не должны быть доступны из интернета без крайней необходимости; доступ к ним стоит ограничить сегментацией, VPN или защищённым шлюзом, многофакторной аутентификацией и отдельными административными учётными записями. Обновления для систем управления сетью и удалённого администрирования нужно ставить с приоритетом, а не отправлять в привычный бэклог «после квартального окна».
Не менее важны логи. Одноразовый ретранслятор живёт считаные часы, поэтому расследование по короткой истории событий легко заканчивается фразой «данных уже нет». Имеет смысл централизовать журналы, увеличить срок их хранения и отдельно отслеживать аномалии: неожиданные SSH-ключи, временные SSH-сервисы, новые доверенные соединения, входы администраторов из непривычных сетей и действия сервисных аккаунтов вне обычного графика. Black Lotus Labs также советует пересмотреть доверительные связи, через которые клиентская или партнёрская сеть может стать продолжением собственной зоны риска.
Silent Train показывает, что закрытие известного ботнета не обязательно лишает сильного противника прикрытия: он может собрать новую сеть из плохо защищённых устройств и использовать её ровно столько, сколько нужно. Вопрос для организаций теперь не в том, есть ли у них ещё один публичный интерфейс управления, а в том, заметят ли они его использование после того, как атакующий войдёт с валидными учётными данными. Детали исследования доступны у .
