Volt Typhoon ukrywa ataki zero-day w sieci przejętych routerów Silent Train

Chińska grupa Volt Typhoon od trzech lat ukrywa swoje ataki za siecią przejętych urządzeń, którą badacze Black Lotus Labs z firmy Lumen nazwali Silent Train. Grupa wykorzystała w ten sposób co najmniej cztery luki zero-day w atakach na infrastrukturę brzegową i systemy zarządzania. Ruch idzie najpierw przez serwery VPS spoza Stanów Zjednoczonych, a potem przez przejęte routery, które działają jako pośrednie przekaźniki. Operatorzy budują łańcuch pod konkretny cel, po każdej operacji go sprzątają i stale odświeżają. Według badaczy do powstania Silent Train przyczyniło się rozbicie przez FBI sieci KV-Botnet, której grupa używała wcześniej.

Kogo dotyczy

Celem są firmy telekomunikacyjne, agencje rządowe, kontrahenci sektora obronnego, uczelnie, przedsiębiorstwa infrastruktury krytycznej, operatorzy usług satelitarnych, firmy IT, dostawcy usług zarządzanych, transport, lotnictwo i służby ratunkowe. Najczęściej atakowane regiony to Kalifornia, Teksas i Hawaje. Jako przekaźniki za granicą służyły modemy Intelbras, a w Stanach Zjednoczonych urządzenia Netgear Orbi.