Lumen liga rede Silent Train do Volt Typhoon a quatro campanhas de zero-day
- A Lumen afirma que o Volt Typhoon utilizou o Silent Train em quatro campanhas zero-day confirmadas e uma provável.
- O grupo-alvo foram plataformas de gerenciamento que podem fornecer acesso a milhares de dispositivos downstream.
- O Silent Train utilizou cadeias de dispositivos comprometidos de curta duração para ocultar ataques e apagar evidências.
Os pesquisadores da Black Lotus Labs da Lumen revelaram que o grupo de hackers vinculado à China, Volt Typhoon, usou uma rede secreta chamada Silent Train em quatro campanhas zero-day confirmadas.
Os hackers visavam plataformas que gerenciam redes inteiras, e não apenas computadores individuais. Comprometer um desses sistemas poderia lhes dar acesso a redes de telecomunicações, defesa e outras infraestruturas críticas.
Os pesquisadores alertaram:
“Sistemas com amplo alcance administrativo podem se tornar gateways de alto valor para toda a organização e seus clientes.”
Uma rede descartável projetada para desaparecer
O Silent Train foi projetado para deixar poucos rastros. Seus operadores conectaram roteadores domésticos e corporativos comprometidos, dispositivos conectados e sistemas empresariais para realizar os ataques. Uma vez encerrada uma operação, eles interrompiam essas conexões e apagavam evidências de sua atividade. As sessões duravam cerca de quatro horas, em média.
O Silent Train foi primeiramente descoberto na segunda metade de 2023. Sua atividade aumentou após as autoridades desmantelarem a KV-botnet anterior da Volt Typhoon no início de 2024.
A Black Lotus Labs enviou milhares de notificações às vítimas ao longo de três anos. Entre as indústrias afetadas pelo grupo hacker estão telecomunicações, defesa, comunicações por satélite, energia, transporte e o setor de recursos hídricos. Eles demonstraram especial interesse em alvos localizados no Havaí, no Texas e na Califórnia.
Quatro campanhas, cinco CVEs
As quatro campanhas confirmadas do Silent Train visavam softwares usados para gerenciar redes inteiras.
O primeiro envolveu o Versa Director, onde o CVE-2024-39717 permitia que atacantes com acesso privilegiado enviassem arquivos maliciosos. A Versa divulgou a falha em agosto de 2024.
Em 2025, os atacantes direcionaram-se ao N-able N-central por meio de duas vulnerabilidades, CVE-2025-8875 e CVE-2025-8876. Ambas exigiam autenticação.
As campanhas de 2026 envolveram duas plataformas de gerenciamento SD-WAN. A Cisco divulgou o CVE-2026-20127 em 25 de fevereiro. Classificado como 10,0, a falha permitia que os atacantes obtivessem privilégios administrativos sem autenticação. A Arista divulgou outra vulnerabilidade classificada como 10,0, o CVE-2026-16812, que afetava o VeloCloud Orchestrator em 27 de julho.
Todos os quatro fornecedores lançaram correções. No entanto, a Lumen observou exploração contínua da vulnerabilidade da Cisco após sua divulgação.
Por que o acesso é o ponto central
As atividades da Volt Typhoon remontam pelo menos ao segundo semestre de 2021. O grupo foi identificado publicamente pela Microsoft em maio de 2023, relatando intrusões em redes de infraestrutura crítica em Guam e nos Estados Unidos continentais.
A preocupação vai além das informações roubadas.
Numa análise de janeiro de 2026 análise, o investigador do IISS John Bruce observou:
A vasta maioria das redes alvo do Volt Typhoon oferecia pouco valor de inteligência estrangeira ao governo chinês.
Bruce apontou a coleção de diagramas de rede e manuais operacionais do grupo como evidência de preparativos para possíveis interrupções. Guam é particularmente sensível porque suas instalações militares seriam importantes em um possível conflito sobre Taiwan.
Estes permanecem como avaliações das intenções do grupo, não como prova de um ataque ordenado.
A concentração é a exposição
O panorama mais amplo da cibersegurança ajuda a explicar o perigo.
O relatório da Verizon de 2026, que abrange mais de 31.000 incidentes, constatou que a exploração de vulnerabilidades se tornou a principal rota de acesso às organizações. A intrusão em sistemas representou 61% das violações confirmadas.
Quando os atacantes comprometem o software que gerencia múltiplas redes, o potencial dano se estende além de uma única organização.
As implicações financeiras permanecem incertas. O FMI alertou que os sistemas financeiros interconectados enfrentam riscos cibernéticos crescentes. No entanto, nenhuma perda no mercado foi diretamente atribuída ao Silent Train.
Separadamente, o Cryptopolitan relatou outra vulnerabilidade do VeloCloud explorada, CVE-2026-114625, classificada com nota 9.9 e corrigida em 22 de outubro. Ela é distinta da falha associada pelo Lumen ao Silent Train.
Não apenas leia notícias sobre criptomoedas. Entenda-as. Inscreva-se em nossa newsletter. É grátis.
Perguntas Frequentes
O que é o Trem Silencioso?
É uma rede clandestina que o Black Lotus Labs da Lumen afirma ser utilizada pelo Volt Typhoon para obter e manter acesso a plataformas de gestão, construída sobre cadeias rotativas de dispositivos domésticos, IoT e empresariais comprometidos, explorados sob demanda e limpos após cada operação.
Quais vulnerabilidades o Volt Typhoon explorou?
As quatro campanhas estão associadas a cinco falhas: Versa Director (CVE-2024-39717), N-able N-central (CVE-2025-8875 e CVE-2025-8876), Cisco Catalyst SD-WAN Controller (CVE-2026-20127) e Arista VeloCloud Orchestrator (CVE-2026-16812).
Os patches impediram os ataques?
Todos os quatro fornecedores lançaram correções, mas a Lumen observou que a exploração da falha da Cisco continuou mesmo depois da primeira divulgação pela Cisco em 25 de fevereiro de 2026; a empresa não afirmou que as quatro campanhas persistiram além do lançamento dos seus patches.
Aviso. As informações fornecidas não constituem aconselhamento de negociação. Cryptopolitan.com não assume responsabilidade por quaisquer investimentos realizados com base nas informações fornecidas nesta página. Recomendamos fortemente a realização de pesquisa independente e/ou consulta a um profissional qualificado antes de tomar qualquer decisão de investimento.
Micah Abiodun
Micah Abiodun faz bom uso de sua especialização em Engenharia e Gestão Ambiental (MSc) na Universidade de Tecnologia de Tallinn (TalTech) para refinar notícias sobre previsão de preços e conteúdo no Cryptopolitan. Agora em seu 7º ano no espaço de mídia cripto, ele cobre principais criptomoedas, altcoins, DeFi, stablecoins, tendências macroeconômicas e tecnologias emergentes.
