Lumen verknüpft Silent-Train-Netzwerk von Volt Typhoon mit vier Zero-Day-Kampagnen
- Lumen gibt an, dass Volt Typhoon Silent Train in vier bestätigten und einem wahrscheinlichem Zero-Day-Kampagneneinsatz einsetzte.
- Die Gruppe zielt auf Managementplattformen ab, die Zugriff auf Tausende nachgelagerte Geräte ermöglichen können.
- Silent Train nutzte kurzlebige Ketten kompromittierter Geräte, um Angriffe zu verschleiern und Beweise zu löschen.
Forschende von Lumen’s Black Lotus Labs enthüllten, dass die China-zugeordnete Hackergruppe Volt Typhoon ein geheimes Netzwerk namens Silent Train in vier bestätigten Zero-Day-Kampagnen einsetzte.
Die Hacker zielten auf Plattformen ab, die gesamte Netzwerke verwalten, nicht nur einzelne Computer. Die Kompromittierung eines dieser Systeme könnte ihnen Zugang zu Telekommunikations-, Verteidigungs- und anderen kritischen Infrastrukturnetzwerken verschaffen.
Die Forscher warnten:
„Systeme mit weitreichender administrativer Reichweite können zu hochrangigen Zugängen für die gesamte Organisation und ihre Kunden werden.“
Ein temporäres Netzwerk, das spurlos verschwindet
Silent Train wurde so konzipiert, dass es kaum Spuren hinterlässt. Die Betreiber vernetzten kompromittierte Home-Office-Router, verbundene Geräte und Unternehmenssysteme, um Angriffe durchzuführen. Sobald ein Vorgang beendet war, trennten sie diese Verbindungen und löschten Beweise ihrer Aktivitäten. Sitzungen dauerten durchschnittlich etwa vier Stunden.
Silent Train wurde zuletzt Ende 2023 entdeckt. Seine Aktivitäten nahmen zu, nachdem Behörden den früheren KV-Botnet von Volt Typhoon Anfang 2024 zerschlagen hatten.
Black Lotus Labs versandte im Laufe von drei Jahren Tausende von Opferbenachrichtigungen. Zu den vom Hacking-Team betroffenen Branchen gehören Telekommunikation, Verteidigung, Satellitenkommunikation, Energie, Verkehr und der Wasserressourcenbereich. Sie zeigten besonderes Interesse an Zielen in Hawaii, Texas und Kalifornien.
Vier Kampagnen, fünf CVEs
Die vier bestätigten Kampagnen von Silent Train zielten auf Software ab, die zur Verwaltung ganzer Netzwerke verwendet wird.
Der erste Fall betraf Versa Director, wobei CVE-2024-39717 Angreifern mit privilegiertem Zugang das Hochladen bösartiger Dateien ermöglichte. Versa gab den Fehler im August 2024 bekannt.
Im Jahr 2025 griffen Angreifer N-able N-central über zwei Schwachstellen an, CVE-2025-8875 und CVE-2025-8876. Beide erforderten eine Authentifizierung.
Die Kampagnen von 2026 umfassten zwei SD-WAN-Verwaltungsplattformen. Cisco gab am 25. Februar CVE-2026-20127 bekannt. Mit einer Bewertung von 10,0 konnte der Fehler es Angreifern ermöglichen, administrative Rechte ohne Authentifizierung zu erlangen. Arista gab eine weitere Schwachstelle mit der Bewertung 10,0, CVE-2026-16812, bekannt, die den VeloCloud Orchestrator am 27. Juli betraf.
Alle vier Anbieter haben Patches veröffentlicht. Lumen beobachtete jedoch weiterhin die Ausnutzung der Cisco-Schwachstelle nach deren Offenlegung.
Warum Zugriff der entscheidende Punkt ist
Die Aktivitäten von Volt Typhoon reichen mindestens bis Mitte 2021 zurück. Microsoft identifizierte die Gruppe öffentlich im Mai 2023 und berichtete über Eindringversuche in kritische Infrastrukturnetzwerke auf Guam und im Festland der USA.
Die Bedenken gehen über gestohlene Informationen hinaus.
In einer Analyse vom Januar 2026 beobachtete IISS-Forscher John Bruce:
Die weitaus meisten von Volt Typhoon angegriffenen Netzwerke boten der chinesischen Regierung nur geringen Wert für ausländische Geheimdienstinformationen.
Bruce verwies auf die Sammlung von Netzwerkdiagrammen und Betriebsanleitungen durch die Gruppe als Beleg für Vorbereitungen auf mögliche Störungen. Guam ist besonders sensibel, da seine militärischen Einrichtungen in einem potenziellen Konflikt um Taiwan von großer Bedeutung wären.
Dies sind nach wie vor Einschätzungen der Absichten der Gruppe, kein Beweis für einen befohlenen Angriff.
Konzentration bedeutet Exposition
Das umfassendere Cybersicherheitsbild hilft, die Gefahr zu erklären.
Verizons Bericht von 2026, der mehr als 31.000 Vorfälle abdeckt, ergab, dass die Ausnutzung von Schwachstellen zum führenden Einstiegspunkt in Organisationen geworden ist. Systemintrusionen machten 61 % der bestätigten Sicherheitsverletzungen aus.
Wenn Angreifer Software kompromittieren, die mehrere Netzwerke verwaltet, erstreckt sich das potenzielle Schadensausmaß über eine Organisation hinaus.
Die finanziellen Auswirkungen bleiben ungewiss. Das IWF hat gewarnt, dass vernetzte Finanzsysteme wachsenden Cyber-Risiken ausgesetzt sind. Allerdings wurden keine Marktverluste direkt auf Silent Train zurückgeführt.
Unabhängig davon berichtete Cryptopolitan über eine weitere ausgenutzte VeloCloud-Schwachstelle, CVE-2026-114625, mit einer Bewertung von 9,9, die am 22. Oktober gepatcht wurde. Sie unterscheidet sich von der Lumen mit Silent Train in Verbindung gebrachten Schwachstelle.
Die klügsten Krypto-Köpfe lesen bereits unseren Newsletter. Lust dabei? Mach mit.
Häufig gestellte Fragen
Was ist Silent Train?
Es handelt sich um ein geheimes Netzwerk, das Lumen's Black Lotus Labs zufolge von Volt Typhoon genutzt wird, um Zugriff auf Management-Plattformen zu erlangen und aufrechtzuerhalten. Dieses Netzwerk basiert auf rotierenden Ketten kompromittierter Home-Office-, IoT- und Unternehmensgeräte, die bei Bedarf ausgenutzt und nach jeder Operation bereinigt werden.
Welche Schwachstellen hat Volt Typhoon ausgenutzt?
Die vier Kampagnen stehen im Zusammenhang mit fünf Sicherheitslücken: Versa Director (CVE-2024-39717), N-able N-central (CVE-2025-8875 und CVE-2025-8876), Cisco Catalyst SD-WAN Controller (CVE-2026-20127) und Arista VeloCloud Orchestrator (CVE-2026-16812).
Haben die Patches die Angriffe gestoppt?
Alle vier Anbieter haben Updates veröffentlicht, aber Lumen gab an, dass die Ausnutzung der Cisco-Schwachstelle auch nach der ersten Offenlegung durch Cisco am 25. Februar 2026 weiterhin beobachtet wurde; das Unternehmen machte keine Aussage darüber, ob alle vier Kampagnen über die Veröffentlichung ihrer Patches hinaus andauerten.
Haftungsausschluss. Die bereitgestellten Informationen stellen keine Anlageberatung dar. Cryptopolitan.com übernimmt keine Haftung für Investitionen, die auf den auf dieser Seite bereitgestellten Informationen basieren. Wir empfehlen dringend, vor der Entscheidung für eine Anlage unabhängige Recherchen durchzuführen und/oder sich mit einem qualifizierten Fachmann beraten zu lassen.
Micah Abiodun
Micah Abiodun nutzt sein Masterstudium in Umwelttechnik und -management (MSc) an der Technischen Universität Tallinn (TalTech), um Inhalte und Preisprognose-Nachrichten bei Cryptopolitan zu verfeinern. Seit nunmehr sieben Jahren im Krypto-Medienbereich tätig, berichtet er über große Kryptowährungen, Altcoins, DeFi, Stablecoins, makroökonomische Trends und aufkommende Technologien.
