Lumen collega la rete Silent Train di Volt Typhoon a quattro campagne zero-day
- Lumen afferma che Volt Typhoon ha utilizzato Silent Train in quattro campagne zero-day confermate e una probabile.
- Il gruppo ha preso di mira piattaforme di gestione in grado di fornire l'accesso a migliaia di dispositivi downstream.
- Silent Train ha utilizzato catene di dispositivi compromessi a breve durata per occultare gli attacchi ed eliminare le prove.
I ricercatori di Black Lotus Labs di Lumen hanno rivelato che il gruppo hacker legato alla Cina Volt Typhoon ha utilizzato una rete covert chiamata Silent Train in quattro campagne zero-day confermate.
Gli hacker hanno preso di mira piattaforme che gestiscono intere reti, non solo singoli computer. La compromissione di uno di questi sistemi potrebbe fornire loro l'accesso a reti di telecomunicazioni, difesa e altre infrastrutture critiche.
I ricercatori hanno avvertito:
«I sistemi con ampia portata amministrativa possono diventare porte ad alto valore per l'intera organizzazione e i suoi clienti.»
Una rete usa e getta progettata per scomparire
Silent Train è stato progettato per lasciare poche tracce. I suoi operatori hanno collegato router domestici-compromessi, dispositivi connessi e sistemi aziendali per portare avanti gli attacchi. Una volta terminata un'operazione, interrompevano quelle connessioni ed eliminavano le prove della propria attività. Le sessioni duravano in media circa quattro ore.
Silent Train è stato scoperto per la prima volta nella seconda parte del 2023. La sua attività è aumentata dopo che le autorità hanno smantellato il precedente KV-botnet di Volt Typhoon all'inizio del 2024.
Black Lotus Labs ha inviato migliaia di notifiche alle vittime nel corso di tre anni. Tra i settori colpiti dal gruppo hacker ci sono le telecomunicazioni, la difesa, le comunicazioni satellitari, l'energia, i trasporti e il settore delle risorse idriche. Hanno mostrato un interesse particolare per i bersagli situati in Hawaii, Texas e California.
Quattro campagne, cinque CVE
Le quattro campagne confermate di Silent Train hanno preso di mira il software utilizzato per gestire intere reti.
Il primo caso riguardava Versa Director, dove CVE-2024-39717 consentiva agli attaccanti con privilegi di caricare file malevoli. Versa ha segnalato la vulnerabilità ad agosto 2024.
Nel 2025, gli attaccanti hanno preso di mira N-able N-central attraverso due vulnerabilità, CVE-2025-8875 e CVE-2025-8876. Entrambe richiedevano l'autenticazione.
Le campagne del 2026 hanno coinvolto due piattaforme di gestione SD-WAN. Cisco ha divulgato CVE-2026-20127 il 25 febbraio. Valutata 10.0, la vulnerabilità consentiva agli attaccanti di ottenere privilegi amministrativi senza autenticazione. Arista ha divulgato un'altra vulnerabilità valutata 10.0, CVE-2026-16812, che colpiva VeloCloud Orchestrator il 27 luglio.
Tutti e quattro i fornitori hanno rilasciato correzioni. Tuttavia, Lumen ha osservato un sfruttamento continuato della vulnerabilità di Cisco dopo la sua divulgazione.
Perché l'accesso è il punto cruciale
Le attività di Volt Typhoon risalgono almeno alla metà del 2021. Microsoft ha identificato pubblicamente il gruppo nel maggio 2023, segnalando intrusioni nelle reti di infrastrutture critiche a Guam e negli Stati Uniti continentali.
La preoccupazione va oltre le informazioni rubate.
In una analisi di gennaio 2026, il ricercatore IISS John Bruce ha osservato:
La stragrande maggioranza delle reti prese di mira da Volt Typhoon offriva scarso valore di intelligence straniera al governo cinese.
Bruce ha indicato la raccolta di diagrammi di rete e manuali operativi da parte del gruppo come prova di preparativi per possibili interruzioni. Guam è particolarmente sensibile perché le sue strutture militari sarebbero importanti in un eventuale conflitto relativo a Taiwan.
Queste rimangono valutazioni delle intenzioni del gruppo, non prove di un attacco ordinato.
La concentrazione è l'esposizione
Il quadro più ampio della cybersecurity aiuta a spiegare il pericolo.
Il rapporto Verizon 2026, che copre oltre 31.000 incidenti, ha rilevato che lo sfruttamento delle vulnerabilità è diventato la principale via di accesso alle organizzazioni. Le intrusioni nei sistemi hanno rappresentato il 61% delle violazioni confermate.
Quando gli attaccanti compromettono il software che gestisce più reti, i danni potenziali si estendono oltre una singola organizzazione.
Le implicazioni finanziarie rimangono incerte. L'FMI ha avvertito che i sistemi finanziari interconnessi affrontano crescenti rischi informatici. Tuttavia, nessuna perdita di mercato è stata attribuita direttamente a Silent Train.
Inoltre, Cryptopolitan ha segnalato un'altra vulnerabilità VeloCloud sfruttata, CVE-2026-114625, valutata 9,9 e corretta il 22 ottobre. Essa è distinta dalla falla collegata da Lumen a Silent Train.
Se stai leggendo questo, sei già avanti. Resta così con la nostra newsletter.
Domande frequenti
Cos'è Silent Train?
Si tratta di una rete covert che il Black Lotus Labs di Lumen afferma sia stata utilizzata da Volt Typhoon per ottenere e mantenere l'accesso alle piattaforme di gestione, costruita su catene rotative di dispositivi compromessi (home-office, IoT ed enterprise) sfruttati on demand e ripuliti dopo ogni operazione.
Quali vulnerabilità ha sfruttato Volt Typhoon?
Le quattro campagne sono collegate a cinque vulnerabilità: Versa Director (CVE-2024-39717), N-able N-central (CVE-2025-8875 e CVE-2025-8876), Cisco Catalyst SD-WAN Controller (CVE-2026-20127) e Arista VeloCloud Orchestrator (CVE-2026-16812).
I patch hanno fermato gli attacchi?
Tutti e quattro i vendor hanno rilasciato correzioni, ma Lumen ha osservato che lo sfruttamento della vulnerabilità di Cisco è continuato anche dopo la prima divulgazione da parte di Cisco il 25 febbraio 2026; l'azienda non ha affermato che tutte e quattro le campagne siano persistite oltre l'applicazione dei patch.
Disclaimer. Le informazioni fornite non costituiscono consulenza finanziaria. Cryptopolitan.com non si assume alcuna responsabilità per eventuali investimenti basati sulle informazioni presenti in questa pagina. Si raccomanda vivamente di effettuare ricerche autonome e/o consultare un professionista qualificato prima di prendere qualsiasi decisione di investimento.
Micah Abiodun
Micah Abiodun utilizza al meglio la sua laurea magistrale in Ingegneria Ambientale e Gestione (MSc) presso l'Università Tecnologica di Tallinn (TalTech) per affinare le notizie su contenuti e previsioni dei prezzi su Cryptopolitan. Ora al suo 7° anno nello spazio mediatico crypto, copre le principali criptovalute, altcoin, DeFi, stablecoin, trend macroeconomici e tecnologie emergenti.
