Volt Typhoon e Silent Train: la rete fantasma zero day che infiltra infrastrutture critiche e telecomunicazioni

Il gruppo di cyber spionaggio Volt Typhoon, collegato alla Cina, è stato associato a una rete di accesso nascosta chiamata Silent Train, usata per campagne di sfruttamento zero day e per ottenere accesso strategico a organizzazioni di alto valore. Silent Train si basa su catene a rotazione di dispositivi compromessi SOHO, IoT e infrastrutture enterprise, impiegando tecniche anti-forensi, operazioni compartimentate e pulizia post-operazione per ridurre rilevamento e attribuzione.

La funzione principale della rete è supportare fasi critiche di un attacco informatico come exploit di vulnerabilità, accesso a credenziali, esfiltrazione dati e mantenimento dell’accesso agli ambienti delle vittime. La selezione dei bersagli evidenzia un obiettivo preciso: colpire entità in grado di fornire accesso scalabile a clienti a valle, reti sensibili o programmi strategici, e prendere di mira piattaforme di gestione endpoint, sistemi di gestione di rete, orchestratori SD-WAN e tecnologie di control plane, spesso centrali nelle architetture aziendali.

Le vittime identificate sono centinaia e includono telecomunicazioni, enti governativi, difesa, servizi satellitari e comunicazioni mission-critical, università, aziende IT e infrastrutture critiche come acqua, energia, trasporti, marittimo, ferrovie, aviazione e servizi di emergenza. Volt Typhoon è noto per operare almeno dal 2021 e per l’interesse verso settori critici, in particolare comunicazioni, energia, trasporti e sistemi idrici.

Secondo le analisi, Silent Train è stato usato in quattro campagne zero day confermate. Tra queste rientra lo sfruttamento di una vulnerabilità di upload file in Versa Director, utilizzata per distribuire una web shell finalizzata al furto di credenziali e all’accesso verso clienti downstream. Le altre vulnerabilità citate includono falle in N-able N-central legate a deserializzazione insicura e command injection, un bypass di autenticazione in Cisco Catalyst SD-WAN Controller e una command injection in Arista VeloCloud Orchestrator. Inoltre, è sospettato l’uso di una probabile zero day in Quest KACE prima della patch, con impatto stimato su oltre 30 vittime.

Silent Train è descritto come un framework multi-hop che instrada il traffico malevolo attraverso più dispositivi per offuscarne l’origine. Le sessioni partono da VPS fuori dagli Stati Uniti, passano per dispositivi compromessi non USA e terminano su nodi di uscita basati negli USA per eludere geofencing e blocklist. Sono stati osservati almeno 27 tipi di dispositivi sfruttati, e le sessioni risultano spesso di breve durata, in media circa quattro ore, con rimozione degli artefatti a fine operazione. Nel tempo la rete si sarebbe evoluta verso un modello ibrido con dispositivi enterprise mantenuti per uno o tre mesi e l’uso di reverse tunnel tramite proxy open source.