Lumen vincula la red Silent Train de Volt Typhoon con cuatro campañas de día cero
- Lumen afirma que Volt Typhoon utilizó Silent Train en cuatro campañas confirmadas y una probable de día cero.
- El grupo atacó plataformas de gestión que pueden proporcionar acceso a miles de dispositivos downstream.
- Silent Train utilizó cadenas de corta duración de dispositivos comprometidos para ocultar ataques y borrar evidencias.
Los investigadores de Black Lotus Labs de Lumen revelaron que el grupo de hackers vinculado a China, Volt Typhoon, utilizó una red encubierta llamada Silent Train en cuatro campañas confirmadas de día cero.
Los piratas informáticos atacaron plataformas que gestionan redes enteras, no solo computadoras individuales. Comprometer uno de estos sistemas podría darles acceso a las redes de telecomunicaciones, defensa y otras infraestructuras críticas.
Los investigadores advirtieron:
“Los sistemas con amplio alcance administrativo pueden convertirse en puertas de alto valor hacia toda la organización y sus clientes.”
Una red desechable diseñada para desaparecer
Silent Train fue diseñado para dejar pocas huellas. Sus operadores conectaron routers domésticos-oficina comprometidos, dispositivos conectados y sistemas empresariales para llevar a cabo los ataques. Una vez finalizada una operación, rompían esas conexiones y borraban las pruebas de su actividad. Las sesiones duraban unas cuatro horas, en promedio.
Silent Train fue descubierto por primera vez a finales de 2023. Su actividad aumentó después de que las autoridades desmantelaran la anterior KV-botnet de Volt Typhoon a principios de 2024.
Black Lotus Labs envió miles de notificaciones a víctimas durante tres años. Entre las industrias afectadas por el grupo de hackers se encuentran las telecomunicaciones, la defensa, las comunicaciones por satélite, la energía, el transporte y el sector de recursos hídricos. Mostraron un interés especial por objetivos ubicados en Hawái, Texas y California.
Cuatro campañas, cinco CVE
Las cuatro campañas confirmadas de Silent Train apuntaron al software utilizado para gestionar redes enteras.
El primero involucraba Versa Director, donde CVE-2024-39717 permitía a los atacantes con acceso privilegiado cargar archivos maliciosos. Versa reveló la vulnerabilidad en agosto de 2024.
En 2025, los atacantes dirigieron sus acciones contra N-able N-central a través de dos vulnerabilidades, CVE-2025-8875 y CVE-2025-8876. Ambas requerían autenticación.
Las campañas de 2026 involucraron dos plataformas de gestión SD-WAN. Cisco reveló CVE-2026-20127 el 25 de febrero. Con una puntuación de 10.0, la vulnerabilidad permitía a los atacantes obtener privilegios administrativos sin autenticación. Arista reveló otra vulnerabilidad calificada con 10.0, CVE-2026-16812, que afectaba a VeloCloud Orchestrator el 27 de julio.
Los cuatro proveedores publicaron correcciones. Sin embargo, Lumen observó una explotación continua de la vulnerabilidad de Cisco después de su divulgación.
Por qué el acceso es el punto clave
Las actividades de Volt Typhoon se remontan al menos a mediados de 2021. Microsoft identificó públicamente al grupo en mayo de 2023, informando sobre intrusiones en redes de infraestructura crítica en Guam y Estados Unidos continental.
La preocupación va más allá de la información robada.
En un análisis de enero de 2026, el investigador de IISS John Bruce observó:
La gran mayoría de las redes objetivo de Volt Typhoon ofrecían poco valor de inteligencia extranjera para el gobierno chino.
Bruce señaló la recopilación de diagramas de red y manuales de operación del grupo como evidencia de preparativos para posibles interrupciones. Guam es particularmente sensible porque sus instalaciones militares serían importantes en un posible conflicto sobre Taiwán.
Estas siguen siendo evaluaciones de las intenciones del grupo, no pruebas de un ataque ordenado.
La concentración es la exposición
El panorama general de ciberseguridad ayuda a explicar el peligro.
El informe de Verizon de 2026, que abarca más de 31.000 incidentes, reveló que la explotación de vulnerabilidades se ha convertido en la principal vía de acceso a las organizaciones. La intrusión en sistemas representó el 61% de las brechas confirmadas.
Cuando los atacantes comprometen software que gestiona múltiples redes, el daño potencial se extiende más allá de una sola organización.
Las implicaciones financieras siguen siendo inciertas. El FMI ha advertido que los sistemas financieros interconectados enfrentan riesgos cibernéticos crecientes. Sin embargo, no se han atribuido directamente pérdidas del mercado a Silent Train.
Por separado, Cryptopolitan informó sobre otra vulnerabilidad de VeloCloud explotada, CVE-2026-114625, con una puntuación de 9,9 y parcheada el 22 de octubre. Es distinta de la falla vinculada por Lumen a Silent Train.
No te limites a leer noticias sobre criptomonedas. Entiéndelas. Suscríbete a nuestro boletín. Es gratis.
Preguntas frecuentes
¿Qué es Silent Train?
Es una red encubierta que, según Black Lotus Labs de Lumen, Volt Typhoon utilizó para obtener y mantener el acceso a las plataformas de gestión. Está construida sobre cadenas rotativas de dispositivos domésticos, IoT y empresariales comprometidos, que se explotan bajo demanda y se limpian después de cada operación.
¿Qué vulnerabilidades explotó Volt Typhoon?
Las cuatro campañas están vinculadas a cinco fallos: Versa Director (CVE-2024-39717), N-able N-central (CVE-2025-8875 y CVE-2025-8876), Cisco Catalyst SD-WAN Controller (CVE-2026-20127) y Arista VeloCloud Orchestrator (CVE-2026-16812).
¿Detuvieron los parches los ataques?
Los cuatro fabricantes publicaron correcciones, pero Lumen indica que observó la explotación del fallo de Cisco continuando incluso después de que Cisco lo divulgara por primera vez el 25 de febrero de 2026; la empresa no afirmó que las cuatro campañas persistieran más allá de sus parches.
Descargo de responsabilidad. La información proporcionada no constituye asesoramiento financiero. Cryptopolitan.com no asume ninguna responsabilidad por las inversiones realizadas basándose en la información proporcionada en esta página. Recomendamos encarecidamente realizar una investigación independiente y/o consultar con un profesional calificado antes de tomar cualquier decisión de inversión.
Micah Abiodun
Micah Abiodun aprovecha su Maestría en Ingeniería y Gestión Ambiental (MSc) de la Universidad Tecnológica de Tallinn (TalTech) para perfeccionar noticias sobre contenido y predicciones de precios en Cryptopolitan. Ahora en su séptimo año en el espacio de medios cripto, cubre las principales criptomonedas, altcoins, DeFi, stablecoins, tendencias macroeconómicas y tecnologías emergentes.
