Silent Train: Volt Typhoon verschleiert Zero-Day-Angriffe über wechselnde Relais
Black Lotus Labs berichtet, dass die chinesische staatlich unterstützte Gruppe Volt Typhoon das Framework Silent Train für gezielte Zero-Day-Angriffe auf wichtige Systeme nutzt. Dafür werden kompromittierte Geräte kurzfristig zu Ketten verbunden, nach dem Einsatz bereinigt und anschließend ersetzt. Für Betreiber bedeutet das: Ein Angriff kann über fremde Router und andere Zwischenstationen laufen, während der eigentliche Zugriff auf zentrale Management- oder Infrastruktursysteme zielt.
Silent Train ist keine einzelne Schadsoftware, sondern eine Relayinfrastruktur. Die Angreifer leiten ihre Aktivitäten zunächst über VPS-Systeme außerhalb der USA und anschließend über gehackte Geräte wie Router. Genannt werden Intelbras-Modems als Relais im Ausland und Netgear-Orbi-Geräte als Zwischenstationen in den USA. Die wechselnden Stationen erschweren es, den Ursprung eines Zugriffs anhand einzelner Quelladressen zu bewerten.
Die Forscher beobachteten dabei mindestens vier Zero-Day-Schwachstellen in Produkten für Netzwerk- und Systemmanagement. Betroffen waren unter anderem VeloCloud Orchestrator, Cisco Catalyst SD-WAN, N-able N-central und Versa Director; bei Quest KACE bestand laut Darstellung ein Verdacht auf eine Zero-Day-Lücke. Die Kompromittierung solcher Plattformen ist besonders relevant, weil sie administrative Kontrolle, den Diebstahl von Zugangsdaten und den Zugriff auf nachgelagerte Kunden ermöglichen kann.
Für die Tarnung setzen die Betreiber offenbar auf kurze, manuell gesteuerte Sitzungen. Dabei werden nur die für eine verkettete SSH-Verbindung notwendigen Werkzeuge, Schlüssel und Konfigurationsdateien abgelegt. Nach dem Ende einer Sitzung, meist innerhalb von acht Stunden, entfernen die Angreifer diese Spuren wieder. Ab Anfang 2025 beobachteten die Forscher zusätzlich kompromittierte Unternehmenssysteme, die ein bis drei Monate erhalten blieben.
Die Ziele reichen laut der Untersuchung von Telekommunikationsunternehmen und Behörden bis zu Verteidigungsauftragnehmern, Versorgern, IT-Dienstleistern, Managed-Service-Providern, Transport- und Luftfahrtunternehmen sowie Notfallorganisationen. Der Kontext ist deshalb nicht auf einzelne Produktnutzer begrenzt: Ein kompromittiertes Managementsystem kann Verbindungen zu Kunden, Partnern oder weiteren internen Netzen eröffnen.
Black Lotus Labs empfiehlt, den Internetzugang zu administrativen Schnittstellen einzuschränken und zentrale Managementsysteme besonders abzusichern. Zusätzlich sollen Betreiber Schwachstellen schnell schließen, Protokolle zentralisieren und länger aufbewahren, ungewöhnliche administrative Aktivitäten überwachen sowie vertrauenswürdige Verbindungen zu Kunden- und Partnernetzen überprüfen. Für die weitere Einordnung verweist die Untersuchung auf Leitlinien von CISA und NCSC zu Volt Typhoon.