Black Lotus Labs, zespół badawczy firmy Lumen, opublikował 28 października 2026 roku raport o sieci „Silent Train”. Chińska grupa Volt Typhoon, wspierana przez państwo, od końca 2023 roku ukrywa za nią swoje najbardziej wrażliwe ataki. Celem były amerykańskie instytucje rządowe, operatorzy telekomunikacyjni, firmy zbrojeniowe i infrastruktura krytyczna. Po drodze ruch przechodził jednak często przez taki sam sprzęt, jaki stoi w domach i małych biurach.

Routery na jedną sesję

Poprzednie narzędzie grupy, botnet KV, było trwałą siecią przejętych routerów, którą amerykańskie służby razem z Black Lotus Labs rozbiły pod koniec 2023 roku. Silent Train działa inaczej. Każdą sesję budowano na żądanie z łańcucha urządzeń, używano jej przeciwko jednej do pięciu ofiar, a potem rozbierano.

Typowy łańcuch zaczynał się na wynajętym serwerze wirtualnym poza USA, przechodził przez drugi serwer i kilka przejętych urządzeń za granicą, a wychodził przez przejęte urządzenie w USA. Dzięki temu ruch wyglądał na krajowy i omijał blokady geograficzne oraz filtry reputacji adresów IP. Niektóre łańcuchy miały nawet sześć przeskoków.

Black Lotus Labs naliczył ponad 27 klas urządzeń. Na początku były to routery i sprzęt IoT do domu i małego biura od TP-Linka, Intelbrasu, Ruckusa, SATO, Netgeara, Zyxela i Cambium. Każdy typ miał stałą rolę: modemy Intelbras pojawiały się wyłącznie jako przekaźniki za granicą, a urządzenia Netgear Orbi służyły jako ostatni przeskok w USA, który łączył się z ofiarą.

Jak wykorzystywano urządzenia

  • Atakujący wchodzili przez panele administracyjne wystawione do internetu.
  • Instalowali tylko to, czego potrzebowali do łańcucha połączeń SSH: tymczasową usługę SSH, klucze, pliki konfiguracyjne i narzędzia, które już były w urządzeniu.
  • Po sesji, która trwała średnio około czterech godzin, usuwali wszystko i przywracali urządzenie do wcześniejszego stanu.
  • Złożenie łańcucha zajmowało niecałe dwie minuty, co wskazuje na częściowo zautomatyzowany proces.

Dla części typów urządzeń nie są znane żadne luki bezpieczeństwa, więc badacze uważają, że grupa używała też nieujawnionych podatności, żeby przejąć pojedynczy przeskok. Później jako ostatnie ogniwo przed ofiarą doszły systemy firmowe, takie jak urządzenia Fortinet i Cisco czy serwery PRTG i CyberPanel. Te zostawały w użyciu przez jeden do trzech miesięcy. W części sesji zamiast łańcucha SSH pojawiały się też odwrócone tunele przez serwery pośredniczące o otwartym kodzie, Chisel i FRP.

Co to oznacza dla domowej sieci

Silent Train służył do ataków na duże organizacje, nie na gospodarstwa domowe. Dzięki obserwacji tej sieci Black Lotus Labs wykrył cztery potwierdzone i jedną prawdopodobną kampanię z użyciem luk dnia zerowego w platformach do zarządzania, takich jak Quest KACE, N-Able N-Central, Cisco Catalyst SD-WAN i VeloCloud Orchestrator. Przekaźnikami były jednak zwykłe routery, a router użyty przez kilka godzin i potem posprzątany niewiele zostawia właścicielowi do znalezienia.

Podstawowa ochrona jest taka sama jak w zaleceniach Lumena dla firm: nie wystawiaj panelu administracyjnego routera do internetu, instaluj aktualizacje oprogramowania układowego i wymieniaj sprzęt, który już ich nie dostaje.